下载最新版本WinRAR,结果一打开就有广告,说好的体验30天呢。可能是之前装过的WinRAR还残留有注册表信息吧,广告如下:
打开x32dbg,附加到WinRAR进程,在DestoryWindow这个API下断点,在调试器的命令行输入bp DestoryWindow即可,点击广告窗口的关闭按钮,在API中断下,栈回溯返回地址就能找到广告窗口的消息处理过程。在IDA中打开,找到对应广告窗口的消息处理函数,交叉引用回溯,可以看到窗口类的注册
可以看到这个窗口类名为RarReminder,Reminder是提示,提醒之类的意思,太真实了。
继续看AdWndProc,可以发现一个诡异的URL
ad开头肯定就是广告的链接了,而紧接着的0xF4E9F0函数就是广告的显示函数了。IDA反编译如