1,打开程序提示更新
2,查壳载入OD(已查无壳)
3,直接搜索ASCII(菜单栏---插件---中文搜索引擎---搜索ASCII)
4,由第一步可得到字符串"发现有新版本"于是直接ctrl+F搜索字符串"发现有新版本"
5,双击那一行,会自动跳转
6,观察该行地址上面的地址,然后发现上一行的push有一个跳转进入,是不是因为这里,而导致出现要求更新的窗口呢..跟踪这个跳转...找到这个地址
7,jnz的意思为如果不等于,则跳转..于是可以判断出是因为这里的判断导致更新的问题,于是乎,NOP之,然后保存文件,这个应该都会吧....
8,使用后发现程序退出后,会弹窗一个广告...然后发现广告的网址为www.258ch.com
9,于是OD重新载入,然后跟上面一样,搜索字符串"www.258ch.com",双击那一行
10,然后NOP掉网址的那一行和下面CALL的那一行,接着保存文件 |
发表于 2018-12-1 15:35:03
收藏