之前用的別人破解的WinRAR，最近更新到5.5後，居然彈出了廣告，並且是在有註冊檔案的情況下。這一點就說明其簡體中文的代理很黑，即便對於註冊使用者也想彈出廣告賺取流量費。最近都在苦逼的搞開發，好久沒玩過了，就拿它開開刀。

一、獲取廣告視窗類名

Visual Studio自帶了一個名為spy++的視窗資訊檢視工具，搜尋spyxx即可找到。這裡要注意使用x64版本的，其檔名為spyxx_amd64.exe。開啟該軟體並開啟WinRAR，廣告視窗即刻蹦了出來：

按Ctrl+F後將查詢工具的小圖示拖到廣告視窗上，可以看出，其註冊的視窗類為”RarReminder”。

二、x64dbg追蹤

由於這次除錯的是x64版本的WinRAR，神器OllyDBG無法派上用場，好在有一個名為x64dbg的新晉偵錯程式基本能夠代替其功能。這次就用它來除錯吧：
用x64dbg載入程式，預設斷在了ntdll領空，F9跑起來後斷在了程式OEP處：

直接右鍵——在當前模組查詢字串，輸入“RarReminder”,共兩處命中：

第一處是註冊該廣告視窗類：

第二處是建立該廣告視窗：

2-1. 廢掉廣告視窗類註冊動作

先在IDA中看看，第一處所在的函式應該是在集中註冊視窗類，只要有一個註冊失敗整個程式就退出執行了。

.text:00000001400D8951                 lea
 
     rax, sub_14009EE78
.text:00000001400D8958                 mov     [rsp+28h+WndClass.lpfnWndProc], rax
.text:00000001400D895D                 movdqa  xmm0, cs:xmmword_1401197B0
.text:00000001400D8965                 movdqa  xmmword ptr [rsp+28h+WndClass.hbrBackground], xmm0
.text:00000001400D896E                 lea     rax, aRarreminder
 
 ; "RarReminder"
.text:00000001400D8975                 mov     [rsp+28h+WndClass.lpszClassName], rax
.text:00000001400D897D                 lea     rcx, [rsp+28h+WndClass] ; lpWndClass
.text:00000001400D8982                 call    cs:RegisterClassW
.text:00000001400D8988                 test    ax, ax
.text:00000001400D898B                 jz      loc_1400D9107
.text:00000001400D8991                 lea     rax, sub_1400DC40C

針對此處，將對.text:00000001400D8982的call給nop掉，但要注意堆疊平衡，並且把判斷返回值和跳向自殺的語句給nop掉，以防程式一言不合就退出。當然，這裡還有一個trick，直接把call指令換成pop rax，既避免了註冊廣告視窗類，又避免了rax返回空而導致程式自殺。

異常退出

然而真這麼做，馬上就會發現問題——F9再次跑起來，很快丟擲異常並終止程序了。由於我們改的指令只是動了堆疊，隱約感覺是堆疊平衡被破壞了。
仔細觀察，呼叫RegisterClassW的call指令前並沒有壓棧動作，這一點和我們熟悉的Win32下的API呼叫有極大不同，取而代之的是對rcx暫存器進行了賦值，而其取得的恰恰就是WndClass的地址！
這裡，已經有足夠的理由猜測Win64下系統API呼叫的約定已經換成了__fastcall，不再是Win32時代下我們熟悉的那個__stdcall。下面實證一下：


可以看出，call執行前後RSP的值並沒有發生任何變化。

解決方案

這裡最終採用的操作是將call、test和je三條指令都nop掉，nop掉後，測試無誤。

2-2. 幹掉廣告視窗顯示動作

繼續執行，程式斷在了建立視窗的API處：

向上翻一翻，直接就發現了廣告地址。嗨呀，好氣啊！

x64dbg和IDA的地址對不上？！

問題出在我對IDA中ImageBase的理解上：
我一直認為在IDA中拉到最上面就是基地址，這樣算起來就是0x140001000，然而，仔細看IDA的描述：

.text:0000000140001000 ;
.text:0000000140001000 ; +-------------------------------------------------------------------------+
.text:0000000140001000 ; |   This file has been generated by The Interactive Disassembler (IDA)    |
.text:0000000140001000 ; |           Copyright (c) 2015 Hex-Rays, <[email protected]>           |
.text:0000000140001000 ; +-------------------------------------------------------------------------+
.text:0000000140001000 ;
.text:0000000140001000 ; Input MD5   : 23A325892A72F1830339E2AC4FD682B2
.text:0000000140001000 ; Input CRC32 : B1D47F33
.text:0000000140001000
.text:0000000140001000 ; File Name   : C:\Users\xxx\Desktop\WinRAR\WinRAR.exe
.text:0000000140001000 ; Format      : Portable executable for AMD64 (PE)
.text:0000000140001000 ; Imagebase   : 140000000
.text:0000000140001000 ; Section 1. (virtual address 00001000)
.text:0000000140001000 ; Virtual size                  : 00107D71 (1080689.)
.text:0000000140001000 ; Section size in file          : 00107E00 (1080832.)
.text:0000000140001000 ; Offset to raw data for section: 00000400
.text:0000000140001000 ; Flags 60000020: Text Executable Readable
.text:0000000140001000 ; Alignment     : default
.text:0000000140001000 ; PDB File Name : D:\Projects\WinRAR\build\winrar64\Release\WinRAR.pdb
.text:0000000140001000
.text:0000000140001000                 include uni.inc ; see unicode subdir of ida for info on unicode
.text:0000000140001000
.text:0000000140001000                 .686p
.text:0000000140001000                 .mmx
.text:0000000140001000                 .model flat
.text:0000000140001000
.text:0000000140001000 ; ===========================================================================

真正的地址是Imagebase中的值，為0x140000000，這樣就能對應上了。在x64dbg中，直接在指令上右擊，選擇複製，是能看到RVA的。IDA中的RVA地址我是通過當前地址-基地址手工計算得到的。這樣換算顯得十分不方便，之前在Win32時代倒是可以通過清除PE頭部的兩處標記讓載入器不執行重定位操作，Win64下有沒有類似操作呢？以後再探究吧。

幹掉廣告函式

既然發現整個函式都和廣告有說不清道不明的關係，並且IDA中的交叉引用還不止一處，那就直接把整個函式幹掉把，乾脆在函式頭用ret大法！

三、儲存修改後的映象

在x64dbg中，沒有找到之前OD的複製–所有更改選項，經過多方查詢，終於知道是在右鍵選單的“補丁”中。選擇修補檔案即可匯出修改後的可執行檔案。

執行修改後的檔案，再沒有廣告框彈出了。