网站 › 『=逆向图文=』 › WinRAR去广告

jiaozihang5+98 发表于 2017-8-14 22:03

WinRAR去广告

本帖最后由 jiaozihang5+98 于 2017-8-14 22:05 编辑


0x00
操作系统：Win10 x64 1607 企业版
目标软件：WinRAR 5.4 64位
工具：spy++ 64位、x64dbg、ResourceHacker

注意：使用管理员身份运行工具软件。

0x01
使用spy++查看广告窗口的类名，为：RarReminder。
https://attach.52pojie.cn/forum/201707/31/103134q577att37usd665z.png

2017-7-31 10:31 上传




0x02
打开x64dbg附加winrar.exe，运行至winrar.exe模块程序入口点。
https://attach.52pojie.cn/forum/201707/31/103920t7z8y494fyjjx8j9.png

2017-7-31 10:39 上传




0x03
右键 - 搜索 - 当前模块 - 字符串，输入RarReminder，下断。
https://attach.52pojie.cn/forum/201707/31/104514hfrnyz4yj4ava14v.png
2017-7-31 10:45 上传




0x04
经分析，断点00007FF712B2D4B6 | 48 8D 15 53 39 07 00   | lea rdx,qword ptr ds:   | 7FF712BA0E10:L"RarReminder"为广告窗口创建函数的参数之一。
经分析，00007FF712B2D497 | 48 8D 0D B2 8D 09 00   | lea rcx,qword ptr ds:   | 7FF712BC6250:"http://ad.winrar.com.cn/show_2.html?L=7&bl=7&v=$Vpersonal&a=$A&src=rrlb"为广告的链接。
两处CALL，正是相关的广告窗口函数。
https://attach.52pojie.cn/forum/201707/31/105317q2228paenp2qz62t.png
2017-7-31 10:53 上传




0x05
查看内存，0x7FF712BA0E0E和0x7FF712BC624E处为0x00，可传入错误参数使函数调用失败。
修改 lea rdx,qword ptr ds:为 lea rdx,qword ptr ds:
修改 lea rcx,qword ptr ds:为 lea rcx,qword ptr ds:
https://attach.52pojie.cn/forum/201707/31/110530k3d324ac1cwua4aa.png
2017-7-31 11:05 上传




0x06
右键 - 补丁 - 修补文件，保存为winrar_patch.exe。经压缩、解压，修复压缩包测试，运行稳定。
https://attach.52pojie.cn/forum/201707/31/110942wa0g913n0300fk0a.png
2017-7-31 11:09 上传




https://attach.52pojie.cn/forum/201707/31/111435fdothcccuxlh77vo.png
2017-7-31 11:14 上传




0x07
修改标题栏上【评估版本】，运行ResourceHacker，打开winrar_patch.exe，Edit - Find - 填入“评估” - Find Next，找到字符串资源，修改为“正式版本”。
https://attach.52pojie.cn/forum/201707/31/112002zpz0s0xn0hrhxnfn.png
2017-7-31 11:20 上传




0x08
F5编译、Ctrl + S保存，即可。
https://attach.52pojie.cn/forum/201707/31/115439b66p3s96a7m886yp.png
2017-7-31 11:54 上传




0x09
WinRar5.4 x64安装包和程序
链接: http://pan.baidu.com/s/1c4d4f0 密码: xqw1




免费评分

theyear 发表于 2017-8-21 17:35

哈哈，我的解压工具终于要看不到广告了

ZZZZP1115 发表于 2017-8-24 23:06

试一下，每次弹广告烦死

syzh802618 发表于 2017-9-11 16:47

感谢楼主分享

BriskRui 发表于 2017-9-11 17:45

好的！多谢！

上帝也撸管儿 发表于 2017-9-11 18:38

多谢楼主的教程 有一点不是很清楚，为什么要搜索字符串“RarReminder”这个字符串是什么意思？本人新手，如果在不知道字符串的情况下，该如果下断并找到拦截此处呢？

CTW丿 发表于 2017-9-11 18:40

Spy++这个工具哪里下载？

上帝也撸管儿 发表于 2017-9-11 20:25

刚才回复了一个帖子，图片没有加载完，导致没有看清楚那个字符串那一步，现在明白了原来是查看广告窗口的类名。有所收获 谢谢大牛的教程

s11111111 发表于 2017-10-4 13:02

感谢楼主分享，一直用WinRAR5.21，这个不用逆向

jiqigouer 发表于 2017-10-5 00:20

谢谢分享了，收下了

查看完整版本: WinRAR去广告