逆向分析学生机房管理助手7.5随机进程名算法

敬告作者：你这么天天更新的，其实很少有老师愿意给每台电脑关掉还原、更新软件、开启还原，真正更新率低得离谱，也没啥新功能，仅仅为了不被杀就绞尽脑汁更新算法，开销大，性价比低。如果你看到这篇文章，希望你好好考虑更新一些造福更多人的软件，而不是纠结于这个！

学生机房管理助手更新了7.5版本，原先我预备最近就发布已破解7.4的极域工具包，结果这么个，又又又增加了工作量！

这次狠活多，抓紧上车~

惯常的做法

先看看运行的进程有哪些：

又是prozs.exe和jfglzs.exe。

我在博客全网首发！逆向分析学生机房管理助手7.4随机进程名算法中用NETReactorSlayer脱壳，而7.5的也如此。

给prozs脱壳后，用dnSpy打开：

定位到Form1_Load()方法，摆在眼前的，有熟悉的日期、求余、拼接，但是多了一个算法Math.Round()，它们重复赋值给text变量，那么毫无疑问，生效的一定是后面的。

有VB基础的读者可以看出，后者是随机的，每次启动都不同，与日期没有多大关系。
那么这样的话，我们没有进程名算法，如何找到关闭进程的方法？

从守护进程找起

既然进程名完全随机，那么它的守护进程jfglzs.exe、主界面main.exe、卸载程序uninstall.exe等都是如何找到它的呢？

我们知道prozs.exe（分析对象）与jfglzs.exe具有互相守护的关系，识别到对方被关就会蓝屏（有些时候则是不声不响地重新启动对方）。

所以这