-
-
[原创]使用x64dbg+VS2015 Spy++去除WinRAR5.40(64位)广告弹框
-
发表于: 2017-7-23 05:34
-
WinRAR5.40(64位)的弹框广告去除，由于我的系统为x64版本，所以安装了WinRAR（x64）版本。
OD无法调试64位的程序，可以让我熟悉x64dbg进行调试的界面。
其次是这玩意儿真是太蛋疼了，无休止弹广告。
1）偷梁换柱
修改汇编函数段首为返回值（本次逆向破解采用的方法）
2）NOP掉整个函数内容
x64dbg工具快捷键与OD无异
F9：运行
bp CreateWindowExW：在x64dbg底部输入这行命令，对使用CreateWindowExW函数的位置断点。
CreateWindowExW：该函数创建一个层叠式窗口、弹出式窗口或子窗口。
参数：
【软件名称】：WinRar
【软件版本】：5.4
【外壳保护】：无
【操作系统】：Windows 10
既然是弹出窗口，首先要知道弹窗窗口的窗口类名，我使用的是VS2015里自带的工具Spy++ x64。
图1 调出Spy++ x64
图2 使用Spy++64查看WinRAR弹出的窗口类名为RarReminder
通过上诉步骤得到WinRAR的类名为RarReminder后，使用x64dbg工具载入WinRAR.exe。在命令的地方使用断点命令【bp CreateWindowExW】，在CreateWindowEx函数断下断点。F9运行到各个断点时观察广告窗口弹出的状态变化。
图3 使用断点命令【bp CreateWindowExW】
F9运行到出现RarReminder字样的地方，x64dbg这款工具还具备查看断点触发的次数的功能，通过【断点】选项卡看到断点共触发了30次才到这里。
[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
原来你提了两个问题 1、如何看出它是个函数，通过int 3中断指令和传入参数判断的。可以自己写一段调用函数的代码反汇编模式下看。示例程序如： #include "stdlib.h" int sum(int a,int b,int m,int n) void main() 2、如果修改的指令与原指令不相称会引起解析问题程序崩溃，原指令占几个字节，就用几个字节的nop填充。 nop填充不够原指令后面的代码并没有变化，而是原指令的剩余字节就被翻译成新的指令了。就是酱 ：）
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
1、可以，但是你最好自己动手写一遍，印证自己的想法。 2、第二个问题，你理解的没错。 3、OllyDbg无法调试x64程序，你用OD调试的应该只是32位程序。 4、不知道 |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
不客气，为了连文章都写不出来的菜鸟提供点帮助是应该的。 |
|
|
试试分析模块，你就知道哪是第一行了。 |
