技术突破！TSforge让Windows及Office全版本离线激活成为可能

近日，技术团队MASSGRAVE在博客上宣布了一项惊人的安全突破，他们成功破解了微软Windows操作系统的核心数字版权管理（DRM）系统——软件保护平台（SPP）。此次发现名为TSforge的漏洞，其威力巨大，能够激活自Windows 7以来所有版本的Windows系统，以及从Office 2013起所有版本及其附加组件。

SPP，作为Windows操作系统中的关键组件，承担着保护和管理软件许可证的重任。它通过验证Windows和其他微软产品的合法性，有效防止了未经授权的复制和许可篡改，是微软维护其产品版权的核心机制之一。自Windows Vista早期开发以来，SPP便成为了Windows激活系统的主要手段，至今已有近20年的历史。

在2023年，MASSGRAVE的研究人员发现了名为“CID技巧”的新方法，该方法能够绕过SPP的验证机制，允许写入伪造的确认ID（CID）。CID是电话激活Windows时使用的数值，由于电话激活无需网络连接，因此所有Windows版本和附加组件都至少有一个可通过电话激活的许可通道。通过修改内存中的CID验证代码，研究人员实现了使用全零CID激活Windows，且重启sppsvc服务后激活状态依然保持，这表明SPP保存的激活数据在写入后并未进行二次验证。

进一步的研究发现，激活数据存储在名为“可信存储区”的加密文件中，该文件与HKLMSYSTEMWPA下的加密注册表项相关联。在Windows 8.1和10系统中，数据主要保存在C:WindowsSystem32sppstore2.0data.dat和C:WindowsSystem32sppstore2.0tokens.dat文件中。而Windows 7则使用spsys.sys驱动程序将数据写入特定的文件和WPA注册表项。

MASSGRAVE团队通过对泄露的Windows 8早期版本spsys.sys驱动程序的分析，找到了破解可信存储区的方法。他们通过跳过加密调用，成功将未加密的内容直接写入磁盘。同时，结合对Windows 10中sppsvc.exe的研究，团队找到了加密、解密、签名校验和哈希校验的例程，并通过修补这些例程，使sppsvc能够解密data.dat文件并接受修改。

最终，研究人员通过逆向工程和模拟RSA解密例程SpModExpPrv，成功获取了用于加密AES密钥的RSA私钥，从而解密了可信存储区的数据。这一突破意味着他们可以直接修改Windows的激活数据，实现离线激活。

MASSGRAVE团队还成功绕过了Windows 7和CSVLK的PKEY2005编码系统，并创建了适用于所有硬件的通用HWID，从而实现了几乎所有Windows版本的离线激活。这一成果无疑将对Windows的版权保护机制产生深远影响，同时也提醒了微软等科技公司需要不断加强其产品的安全性。