reverse-skills-max: initial public release (restored, redacted, hardened)

vendor-new/rev-skills/.claude/skills/re-license/references/decision-tree.md

@@ -0,0 +1,104 @@
+# 授权验证分析决策树与证据分级
+
+## 场景决策树（入口 → 分支）
+
+### 1. 授权机制存在性判定（第一级）
+
+```
+样本有注册/激活流程（注册 UI / 授权文件 / 注册表项 / 序列号输入）
+├─ 带壳 / 混淆 → 先 [[re-anti-analysis]] 脱壳 / [[re-deobfuscate]] 还原，再进主线
+├─ 无任何授权特征 → 诚实报告"无授权机制"，不臆造校验点
+└─ 有授权特征 → 进入定位主线（第 2 节）
+```
+
+### 2. 定位主线（校验点发现）
+
+```
+字符串 / API 交叉引用
+├─ 命中"invalid/register/license/trial/expired"类字符串 → xref → 候选校验函数
+├─ 命中注册表 API（RegQueryValueExW）→ xref → 授权值读取点
+├─ 命中机器码 API（GetVolumeInformationW 等）→ xref → 机器绑定分支（第 4 节）
+├─ 命中时间 API（GetSystemTimeAsFileTime/time）→ xref → 时间型分支（第 5 节）
+└─ 命中网络 API（InternetOpen*/WinHttp*/socket）→ 在线激活分支（第 6 节）
+↓
+候选校验函数全部列出 → 逐一定位：
+├─ 成功/失败跳转结构（jz/jnz）→ 确认是真校验（否则伪校验/蜜罐，见坑 5）
+├─ 注册标志全局变量 → xref 全部消费点 → 全量校验点清单
+└─ 动态断点确认分支方向与返回值（A 级证据）
+```
+
+### 3. 算法类型分支（可逆性判定）
+
+```
+校验函数内部结构
+├─ 对比型（strcmp/逐字节）→ 可逆 → 还原派生计算 → [[re-keygen]] 路线
+├─ 解密型（XOR/base64/自实现）→ 可逆（对称）→ 逆映射 → [[re-keygen]] 路线
+├─ 签名验证型（RSA/ECC verify）→ 不可逆 → [[re-patching]] 路线（诚实报告）
+├─ 哈希型（SHA/MD5 比较）→ 不可逆 → [[re-patching]] 路线
+└─ 混合型（可逆段 + 不可逆段）→ 分段标注，可逆段还原、不可逆段转补丁
+```
+
+### 4. 机器绑定分支
+
+```
+校验函数读机器码（卷序列号 / MachineGuid / /etc/machine-id / 主机名）
+├─ 确认绑定 → 报告注明"绑定机器码"；keygen 生成逻辑必须参数化输入
+├─ 机器码参与运算但可换 → 虚拟环境/注册表值替换可绕过（环境侧验证）
+└─ 只读不参与校验（误报）→ 对照反编译确认数据流，别凭 API 存在下结论
+```
+
+### 5. 时间型分支（有效期 / 订阅 / 试用）
+
+```
+到期提示 / 时间 API 引用
+├─ 到期时间存储位置（注册表/文件）→ 定位比较逻辑
+├─ 时钟回拨检测（当前时间 < 上次记录）→ 先定位检测点再谈改时间
+├─ 宽限期（许可过期仍可用 N 天）→ 回退逻辑独立校验点，纳入清单
+└─ 与序列号校验并存 → 两个独立校验点都要进全量清单
+```
+
+### 6. 在线激活分支
+
+```
+网络 API + 激活流程
+├─ 断网测试：失败/超时 → 确认在线依赖
+├─ 本地只验响应格式（伪校验）→ 真验证在服务器 → [[re-protocol]] 抓包分析
+├─ 有离线回退（宽限/离线激活码）→ 本地回退路径独立还原
+└─ 服务器验证无法绕过 → 如实报告，转协议分析或终止
+```
+
+### 7. 处置路线汇聚
+
+```
+全量校验点清单（含证据级别）
+├─ 全部可逆 → [[re-keygen]]（生成器 + 沙箱全校验点验证）
+├─ 部分可逆 → keygen 覆盖可逆段 + [[re-patching]] 覆盖不可逆段
+├─ 全部不可逆 → [[re-patching]]（跳转/分支修改）
+└─ 在线主导 → [[re-protocol]] 协议层分析
+```
+
+## 证据分级表
+
+| 级别 | 证据形态 | 示例 | 用途 |
+|---|---|---|---|
+| A 强 | 动态确认 | 断点命中校验函数、分支方向与静态推断一致、注册标志实际翻转 | 可下"该校验点成立"结论 |
+| B 中 | 静态链完整 | xref 链 + 数据结构还原完整，无动态验证 | 标注"静态推断，待动态确认" |
+| C 弱 | 静态特征 | 仅字符串/API 存在，调用关系未闭合 | 只作候选，不下结论 |
+| 反证 | 伪校验 | 分支改动不影响行为、蜜罐路径 | 记录并排除，防误导 |
+
+- 每个校验点独立分级：全量清单里 A/B/C 并存是常态，交付下游时标注清楚
+- "程序已注册"的动态结论必须含注册标志/行为证据，不能只凭静态改判
+
+## 实现教训（内化）
+
+- 字符串 xref 只定位候选，动态断点才定性：候选函数必须验证"改分支真的改变行为"（伪校验反例）
+- 注册标志是全局索引：xref 标志变量比逐个搜字符串更全地覆盖功能校验点
+- 授权模型先于算法：节点锁定 / 订阅 / 功能开关 / 浮动授权决定处置路线，模型判错全链白做
+- 在线与离线分开取证：断网测试是最快的模型区分手段，先区分再深入
+- 时间型校验常被漏：序列号校验之外独立存在——查时间 API 引用与到期存储位置
+- 每个结论带证据级别入档（[[re-analyze/analysis-contract]]），下游（patch/keygen）按级别决定可信度
+
+## 使用注意
+
+- 动态环节全部在沙箱内（[[re-sandbox]]，[[re-analyze/platform-tips]] 最高原则）；带壳/混淆样本先还原再定位
+- 本技能只做授权机制分析方法与结构描述，不涉及具体软件破解流程；产物交付限授权范围（自有软件/测试/研究）