Luke 发表于 2016-5-3 22:51

去RAR弹窗广告过程的几种方法

本帖最后由 Luke 于 2016-5-3 22:53 编辑

         给大家分享一次简单去RAR弹窗广告过程的几种方法，从寻找方法和去除NAG整个过程的思路。水平有限，适用于新手交流，若以后发现其它更新其它更好或更快的方法会再更新，因此各位有什么好的思路也可以提出，互相交流。 首先我们打开原版RAR，它会弹出一个窗口，我们想办法去掉它

我们OD载入这个RAR，调试运行可以发现，它启动压缩包窗口和广告窗口是连续分开的两个过程，这给了我们可乘之机。那么我们如何下断？我们有以下方法：第一种下断方法：耐心地一直按F8，按到有弹出窗口的CALL下断点跟进，这样虽然可以找到压缩包窗口和广告窗口的启动函数，但好像比较麻烦；

第二种下断方法：根据广告的网址搜索，下内存断点，这样可以的

第三种下断方法：我们不妨观察一下它的启动，是建立了新的窗口，因此我们可以采用查找API函数的方法，按ctrl+n找到CreatWindowExW函数，选择在每个参考上设置断点；然后我们按F9逐个观察




发现在这里继续按F8就会出现广告窗口，因此这里为弹出广告窗口的函数，想办法去掉就可以了




第一种去除方法：强行爆破，把整个函数相关的过程全部NOP掉或直接跳过，注意这里要小心参数，不能只把CALL给NOP了，注意前面的参数压栈，如果只去掉NOP会导致栈不平衡，后面的程序无法运行，所以要看判断得比较清楚

第二种去除方法：我们参考API函数      CreatWindowExW,注意到他调用的第四个参数父句柄是NULL,说明它没有父句柄，如果我们把它改成PUSH1,这样它的父句柄就是1，但1这个句柄显然是不存在的，因此它也就变得无效，这样改动较少，比较方便

basil 发表于 2016-5-3 22:56

用 execope 找到字符串 80 里面1272 那个网址删除就可以了。{:6_224:}

Luke 发表于 2016-5-3 23:27

basil 发表于 2016-5-3 22:56
用 execope 找到字符串 80 里面1272 那个网址删除就可以了。

可是它里面启动窗口的函数好像还在呢{:5_117:}

xuge190 发表于 2016-5-3 23:54

多学习一些新的PJ技术还是蛮好的 O(∩_∩)O谢谢LZ了

chenjinghappy 发表于 2016-5-4 00:26

不错的文章谢谢分享{:5_116:}

a1007036087 发表于 2016-5-4 03:28

学习了，谢谢楼主

wslyz640 发表于 2016-5-4 08:24

不错的文章谢谢分享

我管你 发表于 2016-5-4 08:31

学习了！！去广告就是爽

zhi007 发表于 2016-5-4 10:27

分享精神，是最值得尊敬的！{:5_118:}

时之刃 发表于 2016-5-8 13:43

谢谢分享，受教了··{:5_117:}
页: [1] 2
查看完整版本: 去RAR弹窗广告过程的几种方法