IDM 6.40.11.2 彈窗的完美解決思路
一個假冒的序列號被用來注冊Internet Download Manager,IDM正在退出的解決辦法
IDM 6.40.11.2 彈窗的解決思路
前言
在IDM官方下載了IDM的30天試用版。
裝好后，找了一個和諧工具。運行和諧工具后，看IDM關于那里，已經(jīng)是全功能版本。
美中不足的是，IDM運行一段時間，就會彈出neg窗口，說文件被修改，最好是去官網(wǎng)下載原版的提示。
我這的彈框如下：
文本提示信息如下：
---------------------------
IDM is corrupt
---------------------------
The main IDM executive file is damaged. It's possible that it was infected with a virus.Please download the latest version of IDM from our web site, and install it over your current version. Just run downloaded IDM installer, and it will replace the damaged files. Do not worry, because all downloads and IDM settings will not be affected
---------------------------
確定
---------------------------
雖然是不影響使用，但是不斷的要關掉neg窗口會讓人瘋掉的，弄不好要得強迫癥:(
查看IDMan.exe的屬性，看到版本為 6.40.11.2
在網(wǎng)上找了一下，好像沒有太好的方法去掉neg窗口。
有些方法是針對舊版的，針對這個新版不好使。
實驗環(huán)境
win10 21H2 + IDA7.7.220118
確定彈窗的所有者
這個neg彈窗通過spy++看，是IDM主程序彈出的，并不是調(diào)用的外部exe.
開始調(diào)試
那就只能通過無源碼調(diào)試，學習研究，擼清彈窗的邏輯。
用IDA載入IDMan.exe，看調(diào)試信息，可以知道IDM6.40.11是用vs2008中的MFC寫的程序。
看到IDM目錄下并沒有MFCDLL, 知道IDM是靜態(tài)使用MFC庫的。
嘗試用IDAx86將IDMan.exe帶著跑起來，看看有沒有機會將neg窗口搞掉。
IDM并沒有做明顯的反調(diào)試處理，用IDA帶著IDM跑起來，功能都是正常的。作者比較溫和。
IDM彈出neg窗口是隨機的，一天反正要彈那么幾次。彈框后，按確定鍵，還會去IDM官網(wǎng)下載頁面. 次數(shù)多了，真是不耐其煩啊…
還不如作者不給老百姓用，這樣還省心些。
作者為的就是讓和諧版的用戶心煩，然后買原版省心。
關鍵是作者忽略了像我這種喜歡DIY的用戶，這咋弄?
等了一下午，終于等到IDM彈neg窗口了, 美滋滋。
點擊neg窗口的確定按鈕，打開了網(wǎng)頁，去了IDM站點。url如下：
https://www.internetdownloadmanager.com/download3.html?lng=chn2
在串參考中查找 ?lng=
找到了幾個，唯一和這個url符合的字符串如下：
.rdata:00CF7164 aSLngS_0 db '%s?lng=%s',0 ; DATA XREF: sub_AF6E90+D51↑o .rdata:00CF7164 ; sub_AFA1A0+D51↑o ...
查找 aSLngS_0 的調(diào)用者就能找到拼url的地方，這個地方和彈窗是一個邏輯流。
調(diào)用點一共有3處
debug1
.text:00AF7BE1 push offset aSLngS_0 ; "%s?lng=%s"
debug2
.text:00AFAEF1 push offset aSLngS_0 ; "%s?lng=%s"
debug3
.text:00C40B0C push offset aSLngS_0 ; "%s?lng=%s"
主dlg虛表位置
由debug1查找調(diào)用點，逐級回溯查找調(diào)用點，找到了主Dlg的虛表。
.rdata:00CF6719 align 10h .rdata:00CF6720 dd offset ??_R4CDownloaderDlg@@6B@ ; const CDownloaderDlg::`RTTI Complete Object Locator' .rdata:00CF6724 ; const CDownloaderDlg::`vftable' .rdata:00CF6724 ??_7CDownloaderDlg@@6B@ dd offset sub_C689EF .rdata:00CF6724 ; DATA XREF: sub_ADD890+40↑o .rdata:00CF6724 ; CRecordset::~CRecordset(void)+30↑o .rdata:00CF6728 dd offset sub_AE0980 .rdata:00CF672C dd offset nullsub_1 .rdata:00CF6730 dd offset unknown_libname_51 ; MFC 3.1-14.0 32bit .rdata:00CF6734 dd offset ?OnFinalRelease@CWnd@@UAEXXZ ; CWnd::OnFinalRelease(void)
根據(jù)自己寫MFC程序的經(jīng)驗，就在這些虛函數(shù)中找，就能看到判斷程序損壞的邏輯。
看了一圈，沒看到邏輯。我只看了頂層函數(shù)，子函數(shù)調(diào)用沒看。應該是在那些子函數(shù)中。
換個方法調(diào)試 - 在這3處啟動網(wǎng)頁的地方下斷點
這3處下斷點(F2), 然后用IDA帶著IDM跑起來。
等了3個小時，IDM終于彈框了。點擊確認，IDA下的斷點斷住了。
.text:0050AEEC push ecx ; ArgList .text:0050AEED lea edx, [esp+1F8h+var_1D0] .text:0050AEF1 push offset aSLngS_0 ; "%s?lng=%s" // break here .text:0050AEF6 push edx ; int .text:0050AEF7 call sub_492F80 .text:0050AEFC add esp, 1Ch .text:0050AEFF mov byte ptr [esp+1E4h+var_4], bl .text:0050AF06 lea ecx, [esp+1E4h+var_1CC] ; void * .text:0050AF0A call sub_492570
因為程序是動態(tài)裝載的，首地址的段不一樣。比較地址后面的4個字節(jié)，可以知道是debug2處的url.
如果查看代碼到了非當前IP處，先回到當前IP處的代碼。
選擇當前線程
在棧窗口跳到ESP
跟隨ESP的反匯編。
這時，就回到了斷住的第一現(xiàn)場。如果自己F7單步過，當前現(xiàn)場就在斷點下面2，3行。
打開函數(shù)調(diào)用鏈窗口
可以看到當前被斷住的代碼的調(diào)用鏈。
可知，當前代碼在sub_50A1A0中。
最近調(diào)用過的一個函數(shù)是sub_491980
復制保存當前的調(diào)用鏈為文本，用于分析。
.text:0050AD76 call sub_491980 .text:0050AE08 call esi ; GetDesktopWindow .text:0050AE0B call sub_4FDB50 .text:0050AE2B call sub_4911F0 .text:0050AE43 call sub_4930C0 .text:0050AE8D call sub_4921B0 .text:0050AEA1 call _wcsrchr .text:0050AEC1 call _wcsrchr .text:0050AED6 call sub_492A70 .text:0050AEF7 call sub_492F80 .text:0050AF0A call sub_492570 .text:0050AF1B call sub_4911F0 .text:0050AF25 call esi ; GetDesktopWindow .text:0050AF28 call sub_53BEB0 .text:0050AF42 call ds:SetTimer .text:0050AF54 call sub_492570 .text:0050AF68 call sub_4911F0 .text:0050AF8B call @__security_check_cookie@4; __security_check_cookie(x) .text:006CEBAE call @__security_check_cookie@4; __security_check_cookie(x) .text:006CEBBB call @__security_check_cookie@4; __security_check_cookie(x)
回到當前IP處的代碼，用圖形方式查看代碼實現(xiàn)，邏輯看的清楚。
同一邏輯的代碼都用在一個圖形框里面，跳轉(zhuǎn)看的清楚。
鼠標左鍵拖動 + 鼠標中鍵滾動，向上看代碼邏輯。咋走到這里來的？
再看看這個函數(shù)的圖形調(diào)用鏈。
現(xiàn)在就可以去查fn_msg_proc_sub_B07090中，調(diào)用sub_50A1A0的調(diào)用點。
順著調(diào)用鏈看代碼時，發(fā)現(xiàn)疑似彈窗實現(xiàn)。
.text:0050AE0B call sub_4FDB50
.text:004FDC1E call ds:MessageBoxW
在 MessageBoxW調(diào)用處下斷點看看。
.idata:006F972C ; int (__stdcall *MessageBoxW)(HWND hWnd, LPCWSTR lpText, LPCWSTR lpCaption, UINT uType) .idata:006F972C MessageBoxW dd offset user32_MessageBoxW
現(xiàn)在有3個url字符串拼串的斷點，剩下斷點都是MessageBoxW的斷點，已經(jīng)跑起來了。等彈框。
等到彈框斷點斷住
晚上本本沒關，等到了早上10點鐘左右。IDA被彈窗操作斷下來了。
等了12+小時，終于等到彈框斷點被斷住。作者可能不知道我這么有耐心陪他玩。
.text:004FDC16 .text:004FDC16 loc_4FDC16: .text:004FDC16 mov edx, [esp+34h+uType] .text:004FDC1A push edx ; uType .text:004FDC1B push eax ; lpCaption .text:004FDC1C push ebp ; lpText .text:004FDC1D push edi ; hWnd .text:004FDC1E call ds:MessageBoxW // break here .text:004FDC24 mov esi, eax .text:004FDC26 mov byte ptr [esp+34h+var_4], bl .text:004FDC2A lea ecx, [esp+34h+var_20] ; void * .text:004FDC2E call sub_492570 .text:004FDC33 jmp short loc_4FDC55
這個斷點在 .text:004FDB50 sub_4FDB50 proc near 函數(shù)中
偏移 = 4FDC1E - 4FDB50 = 206 = 0xCE
按x鍵時，可以看到這個斷點為
p sub_4FDB50+CE call ds:MessageBoxW
棧窗口內(nèi)容
// 棧是向上生長的 // 每多調(diào)用一個函數(shù)，地址就減少 // 當斷下時，棧地址 = 063DF674 // 代碼為 .text:004FDC16 mov edx, [esp+34h+uType] .text:004FDC1A push edx ; uType .text:004FDC1B push eax ; lpCaption .text:004FDC1C push ebp ; lpText .text:004FDC1D push edi ; hWnd .text:004FDC1E call ds:MessageBoxW // 棧地址 = 063DF674 // 此時，按F7步入MessageBoxW，棧地址就變?yōu)?63DF670，棧地址減小了 063DF670 004FDC24 neg_msgbox_sub_4FDB50+D4 063DF674 00010010 // 斷下時的棧頂 063DF678 0394E340 debug080:0394E340 063DF67C 03949690 debug080:03949690 063DF680 00041030 063DF684 BB18CB49 063DF688 00000035 063DF68C 76B89F90 USER32:user32_GetDesktopWindow 063DF690 00000000 063DF694 00000C8A 063DF698 0394AF70 debug080:0394AF70 063DF69C 03949690 debug080:03949690 063DF6A0 063D0000 063DF6A4 0000000F 063DF6A8 BB18CB59 063DF6AC 063DF8A4 debug286:063DF8A4 063DF6B0 006E09A0 sub_5CF400:SEH_46DB50 063DF6B4 00000001 063DF6B8 0050AE10 sub_50A1A0+C70 063DF6BC 00010010 063DF6C0 0394E340 debug080:0394E340 063DF6C4 063DF700 debug286:063DF700 063DF6C8 00041030 063DF6CC BB18CB11 063DF6D0 011E7470 debug011:011E7470 063DF6D4 0393BBE0 debug080:0393BBE0 063DF6D8 063DF934 debug286:063DF934 063DF6DC 00000C50 063DF6E0 FFFFFFFE 063DF6E4 012B0000 debug030:012B0000 063DF6E8 4014006A 063DF6EC 00000000 063DF6F0 772A0000 ntdll:772A0000 063DF6F4 0394E340 debug080:0394E340 063DF6F8 00000000 063DF6FC 00000157 063DF700 204D4449 063DF704 63207369 063DF708 7572726F Crypt32:crypt32_I_CryptInstallOssGlobal+546F 063DF70C A2007470 063DF710 70747468 063DF714 772F2F3A ntdll:ntdll_RtlGetThreadPreferredUILanguages+18A 063DF718 692E7777 063DF71C 7265746E 063DF720 6474656E 063DF724 6C6E776F 063DF728 6D64616F 063DF72C 67616E61 dcomp:67616E61 063DF730 632E7265 063DF734 642F6D6F 063DF738 6C6E776F 063DF73C 3264616F 063DF740 6D74682E 063DF744 0000006C 063DF748 20656854 063DF74C 6E69616D 063DF750 4D444920 063DF754 65786520 063DF758 69747563 063DF75C 66206576 063DF760 20656C69 063DF764 64207369 063DF768 67616D61 dcomp:67616D61 063DF76C 202E6465 063DF770 73277449 mswsock:73277449 063DF774 736F7020 063DF778 6C626973 063DF77C 68742065 COMCTL32:comctl32_Ordinal234+BEE5 063DF780 69207461 063DF784 61772074 063DF788 6E692073 063DF78C 74636566 windows.storage:74636566 063DF790 77206465 COMDLG32:77206465 063DF794 20687469 063DF798 69762061 063DF79C 2E737572 063DF7A0 0A0D0A0D 063DF7A4 61656C50 063DF7A8 64206573 063DF7AC 6C6E776F 063DF7B0 2064616F 063DF7B4 20656874 063DF7B8 6574616C 063DF7BC 76207473 SETUPAPI:76207473 063DF7C0 69737265 063DF7C4 6F206E6F 063DF7C8 44492066 063DF7CC 7266204D 063DF7D0 6F206D6F 063DF7D4 77207275 COMDLG32:77207275 063DF7D8 73206265 RASAPI32:73206265 063DF7DC 2C657469 063DF7E0 646E6120 063DF7E4 736E6920 063DF7E8 6C6C6174 063DF7EC 20746920 063DF7F0 7265766F 063DF7F4 756F7920 Crypt32:crypt32_RegCreateHKCUKeyExU+8F20 063DF7F8 75632072 KERNEL32:kernel32_WakeConditionVariable+1E8C 063DF7FC 6E657272 063DF800 65762074 063DF804 6F697372 063DF808 4A202E6E 063DF80C 20747375 063DF810 206E7572 063DF814 6E776F64 063DF818 64616F6C 063DF81C 49206465 063DF820 69204D44 063DF824 6174736E 063DF828 72656C6C 063DF82C 6E61202C 063DF830 74692064 windows.storage:74692064 063DF834 6C697720 063DF838 6572206C 063DF83C 63616C70 schannel:schannel_SpLsaModeInitialize+12420 063DF840 68742065 COMCTL32:comctl32_Ordinal234+BEE5 063DF844 61642065 063DF848 6567616D 063DF84C 69662064 063DF850 2E73656C 063DF854 206F4420 063DF858 20746F6E 063DF85C 72726F77 063DF860 62202C79 063DF864 75616365 KERNEL32:kernel32_Wow64Transition+4331 063DF868 61206573 063DF86C 64206C6C 063DF870 6C6E776F 063DF874 7364616F 063DF878 646E6120 063DF87C 4D444920 063DF880 74657320 windows.storage:74657320 063DF884 676E6974 dcomp:dcomp_DllGetClassObject+31B04 063DF888 69772073 063DF88C 6E206C6C 063DF890 6220746F 063DF894 66612065 063DF898 74636566 windows.storage:74636566 063DF89C 01006465 063DF8A0 BB18CB21 063DF8A4 063DF928 debug286:063DF928 063DF8A8 006CEB9C sub_506E90:SEH_47A1A0 063DF8AC 00000000 063DF8B0 00682640 _AfxThreadEntry(void *)+DA 063DF8B4 00000000 063DF8B8 BB18C4F5 063DF8BC 006AD07B _threadstartex(x) 063DF8C0 0394E930 debug080:0394E930 063DF8C4 0394E930 debug080:0394E930 063DF8C8 00000000 063DF8CC 0078458C .rdata:const CWnd::`vftable' 063DF8D0 00000001 063DF8D4 00000000 063DF8D8 00000000 063DF8DC 00000000 063DF8E0 00000001 063DF8E4 00000000 063DF8E8 012C57D8 debug030:012C57D8 063DF8EC 00000000 063DF8F0 D378BE00 063DF8F4 00000000 063DF8F8 00000000 063DF8FC 007844FC .rdata:const CWnd::XAccessible::`vftable' 063DF900 00784570 .rdata:const CWnd::XAccessibleServer::`vftable' 063DF904 00000000 063DF908 00000000 063DF90C 00000000 063DF910 00000000 063DF914 00000000 063DF918 00000000 063DF91C 00000000 063DF920 0393BBE0 debug080:0393BBE0 063DF924 063DF8B8 debug286:063DF8B8 063DF928 063DF95C debug286:063DF95C 063DF92C 006EAD0D _AfxThreadEntry(void *):loc_6EAD0D 063DF930 00000000 063DF934 063DF96C debug286:063DF96C 063DF938 006AD055 __callthreadstartex+1B 063DF93C 011E7470 debug011:011E7470 063DF940 BB18C4AD 063DF944 006AD07B _threadstartex(x) 063DF948 0394E930 debug080:0394E930 063DF94C 0394E930 debug080:0394E930 063DF950 063DF940 debug286:063DF940 063DF954 063DF940 debug286:063DF940 063DF958 063DF9D4 debug286:063DF9D4 063DF95C 063DF9D4 debug286:063DF9D4 063DF960 006A69B0 SEH_6337D0 063DF964 BD59D039 063DF968 00000000 063DF96C 063DF978 debug286:063DF978 063DF970 006AD0FD .text:006AD0FD 063DF974 006AD07B _threadstartex(x) 063DF978 063DF988 debug286:063DF988 063DF97C 755AFA29 KERNEL32:kernel32_BaseThreadInitThunk+19 063DF980 0394E930 debug080:0394E930 063DF984 755AFA10 KERNEL32:kernel32_BaseThreadInitThunk 063DF988 063DF9E4 debug286:063DF9E4 063DF98C 77307A7E ntdll:ntdll_RtlGetAppContainerNamedObjectPath+11E 063DF990 0394E930 debug080:0394E930 063DF994 D378BF44 063DF998 00000000 063DF99C 00000000 063DF9A0 0394E930 debug080:0394E930 063DF9A4 00000000 063DF9A8 00000000 063DF9AC 00000000 063DF9B0 00000000 063DF9B4 00000000 063DF9B8 00000000 063DF9BC 00000000 063DF9C0 00000000 063DF9C4 00000000 063DF9C8 00000000 063DF9CC 063DF994 debug286:063DF994 063DF9D0 00000000 063DF9D4 063DF9EC debug286:063DF9EC 063DF9D8 7731AD20 ntdll:ntdll_wcstombs+70 063DF9DC A27F8F80 063DF9E0 00000000 063DF9E4 063DF9F4 debug286:063DF9F4 063DF9E8 77307A4E ntdll:ntdll_RtlGetAppContainerNamedObjectPath+EE 063DF9EC FFFFFFFF 063DF9F0 77328A28 ntdll:ntdll_RtlCaptureContext+E8 063DF9F4 00000000 063DF9F8 00000000 063DF9FC 006AD07B _threadstartex(x) 063DFA00 0394E930 debug080:0394E930
彈窗后，F(xiàn)7/F8 單步，回到了 sub_50A1A0
unsigned int __cdecl fn_show_neg_wnd_sub_50A1A0(void *a1)
{
// 這個函數(shù)功能
// 給彈框內(nèi)容賦值，一個一個字節(jié)的賦值，翻譯字符串成寬字符串。讓調(diào)試者在字符串表中，找不到現(xiàn)成的字符串。
// 然后彈框
// ...
v14 = v7;
DesktopWindow = GetDesktopWindow();
neg_msgbox_sub_4FDB50(DesktopWindow, v14, v24, 0x41030u);
if ( a1 )
{
v27 = -1;
fn_delete_sub_4911F0();
return 1;
}
else
{
sub_4930C0(ArgList);
...
v15 = v16;
v13 = GetDesktopWindow();
sub_53BEB0(v13, v15); // 這里疑似打開下載網(wǎng)頁
if ( hWnd )
SetTimer(hWnd, 0x26u, 0x36EE80u, 0); // 這個定時器(0x26)應該就是neg窗口檢測的定時器。
// 0x36EE80u = 3600000 = 3600秒 = 60分鐘 = 1小時
// 這個定時器一個小時的，而且這個定時器1小時時間到后，也不是每次都彈框。
// 可以考慮在1小時定時器中，不干活。
LOBYTE(v27) = 0;
fn_free_sub_492570(&v16);
v27 = -1;
fn_delete_sub_4911F0();
return 0;
}
單步出來，到MFC線程函數(shù)操作中了
if ( v6 )
{
v7 = v6(v1[13]); // 執(zhí)行 fn_show_neg_wnd_sub_50A1A0
}
else
{
v8 = (*(int (__thiscall **)(_DWORD *))(*v1 + 80))(v1) == 0;
v9 = *v1;
if ( v8 )
v7 = (*(int (__thiscall **)(_DWORD *))(v9 + 104))(v1);
else
v7 = (*(int (__thiscall **)(_DWORD *))(v9 + 84))(v1);
}
v10 = v7;
CWnd::Detach((CWnd *)v11);
AfxEndThread(v10, 1);
}通過單步，已經(jīng)知道IDM是用26號定時器（觸發(fā)時間1個小時）來彈neg窗口和neg URL.
neg線程函數(shù)為 fn_show_neg_wnd_sub_50A1A0
停掉IDA調(diào)試，回分析狀態(tài)。
在函數(shù)列表中過濾出 fn_show_neg_wnd_sub_50A1A0
查找 fn_show_neg_wnd_sub_50A1A0的調(diào)用點
可以看到只有一處，雙擊過去瞧瞧。
.text:0051D68F .text:0051D68F loc_51D68F: ; CODE XREF: fn_msg_proc_sub_B07090+2A1A↑j .text:0051D68F ; DATA XREF: .text:jpt_519AAA↓o .text:0051D68F push 0 ; jumptable 00519AAA case 5355 .text:0051D691 push 0 ; unsigned int .text:0051D693 push 0 ; StackSize .text:0051D695 push 0 ; int .text:0051D697 push 0 ; void * .text:0051D699 push offset fn_show_neg_wnd_sub_50A1A0 ; unsigned int (__cdecl *)(void *) .text:0051D69E call ?AfxBeginThread@@YGPAVCWinThread@@P6AIPAX@Z0HIKPAU_SECURITY_ATTRIBUTES@@@Z ; AfxBeginThread(uint (*)(void *),void *,int,uint,ulong,_SECURITY_ATTRIBUTES *) .text:0051D6A3 mov eax, 1 .text:0051D6A8 wait .text:0051D6A9 jmp loc_51F405
看到了不? 這里起了一個neg線程。
往上拉，看看這個起neg線程的函數(shù)的整體含義。
這是一個消息處理函數(shù)啊
int __thiscall fn_msg_proc_sub_B07090(int this, UINT wParam, LPARAM a3)
{
// CWnd::OnCommand 處理
LPARAM v4; // ecx
// ...
// 消息ID = 0x14EB
case 0x14EBu:
AfxBeginThread(fn_show_neg_wnd_sub_50A1A0, 0, 0, 0, 0, 0); // 這里啟動neg線程
return 1;
case 0x14ECu:
if ( sub_4E6AE0(v384, v385) )
return 1;
v247 = *(WPARAM **)(this + 492);
if ( !v247 )
return 1;
LABEL_862:
sub_4BDBF0(0x111u, *v247, 0);
return 1;
default:
return CWnd::OnCommand((CWnd *)this, wParam, lParam);
}
// ...
LABEL_862:
sub_4BDBF0(0x111u, *v247, 0);
return 1;
default:
return CWnd::OnCommand((CWnd *)this, wParam, lParam);
}
}
if ( wParam != 10239 )
return CWnd::OnCommand((CWnd *)this, wParam, lParam);
sub_4FB3F0(1);
return 1;
}
已經(jīng)看到 // 消息ID = 0x14EB 引起建立neg線程
用圖形模式看
loc_51D68F: ; jumptable 00519AAA case 5355 ; 0x14EB is 5355 push 0 push 0 ; unsigned int push 0 ; StackSize push 0 ; int push 0 ; void * push offset fn_show_neg_wnd_sub_50A1A0 ; unsigned int (__cdecl *)(void *) call ?AfxBeginThread@@YGPAVCWinThread@@P6AIPAX@Z0HIKPAU_SECURITY_ATTRIBUTES@@@Z ; AfxBeginThread(uint (*)(void *),void *,int,uint,ulong,_SECURITY_ATTRIBUTES *) mov eax, 1 wait jmp loc_51F405
看看誰發(fā)的消息（ID = 0x14EB or 5355）。
在 fn_msg_proc_sub_B07090 看了，只是消息處理。
消息是外部投遞進來的。
一般投遞消息使用postmessage, 特別是這種neg窗口的消息，咱自己寫程序，也不可能用sendmessage.
查看postmessage的調(diào)用點，找到 （ID = 0x14EB or 5355）的消息投遞點。
.idata:006F97B0 ; CODE XREF: sub_498BE0+A↑p .idata:006F97B0 ; sub_4B4630+88↑p ... .idata:006F97B4 ; BOOL (__stdcall *PostMessageA)(HWND hWnd, UINT Msg, WPARAM wParam, LPARAM lParam) .idata:006F97B4 extrn PostMessageA:dword .idata:006F97B4 ; CODE XREF: sub_498320+160↑p .idata:006F97B4 ; sub_4AE410+249↑p ...
查看 PostMessageA 的所有調(diào)用。
隨便去一個postmessage處，看看代碼格式。
.text:0049846F push eax ; lParam .text:00498470 push 14DFh ; wParam .text:00498475 push 111h ; Msg // 這是消息ID .text:0049847A mov eax, hWnd .text:0049847F push eax ; hWnd .text:00498480 call ds:PostMessageA
先找一下文本 push 14EBh
不好找。
將IDA中的反匯編，存成要給.asm， 再來找.
在asm中查找 14EBh，好多都不是。
還得在IDA中找找PostMessageA, 找到一處，就看看上面的MSG ID 是不是 14EBh
這樣找也不行啊，好多ID是用參數(shù)傳進來的。并不是一個立即數(shù)。
找找settimer, ID = 0x26
找到一個包裝過的設置定時器的函數(shù)fn_setimer_sub_4B4B20，在這個函數(shù)中的SetTimer處下斷點等著。
.text:004B4B20 fn_setimer_sub_4B4B20 proc near ; CODE XREF: sub_4F5860+17D↓p .text:004B4B20 ; sub_4F5860+19C↓p ... .text:004B4B20 .text:004B4B20 nIDEvent= dword ptr 4 .text:004B4B20 uElapse= dword ptr 8 .text:004B4B20 lpTimerFunc= dword ptr 0Ch .text:004B4B20 .text:004B4B20 mov eax, [esp+lpTimerFunc] .text:004B4B24 mov edx, [esp+uElapse] .text:004B4B28 mov ecx, [ecx+20h] .text:004B4B2B push eax ; lpTimerFunc .text:004B4B2C mov eax, [esp+4+nIDEvent] .text:004B4B30 push edx ; uElapse .text:004B4B31 push eax ; nIDEvent .text:004B4B32 push ecx ; hWnd .text:004B4B33 call dword ptr ds:SetTimer // F2 here .text:004B4B39 retn 0Ch .text:004B4B39 fn_setimer_sub_4B4B20 endp
不好使
查找 push 26h 下面是settimer的，找到下面幾處。
loc_507C10: ; CODE XREF: sub_506E90+CBC↑j
mov eax, [esp+1E4h+var_1D0]
push eax
call esi ; GetDesktopWindow
push eax
call fn_show_dl_url_sub_53BEB0
mov eax, hWnd
add esp, 8
cmp eax, ebp
jz short loc_507C38
push ebp ; lpTimerFunc
push 36EE80h ; uElapse
push 26h ; '&' ; nIDEvent
push eax ; hWnd
call ds:SetTimerloc_50AF20: ; CODE XREF: fn_show_neg_wnd_sub_50A1A0+CBC↑j
mov eax, [esp+1E4h+var_1D0]
push eax
call esi ; GetDesktopWindow
push eax
call fn_show_dl_url_sub_53BEB0
mov eax, hWnd
add esp, 8
cmp eax, ebp
jz short loc_50AF48
push ebp ; lpTimerFunc
push 36EE80h ; uElapse
push 26h ; '&' ; nIDEvent
push eax ; hWnd
call ds:SetTimer; ---------------------------------------------------------------------------
loc_5105F3: ; CODE XREF: sub_50FC00+4F↑j
; DATA XREF: .text:jpt_50FC4F↓o
; try { ; jumptable 0050FC4F case 38
mov [ebp+64h+var_68], 14h
wait
push 26h ; '&' ; uIDEvent
mov edx, [esi+20h]
push edx ; hWnd
call ds:KillTimer
push 0 ; lParam
push 14BFh ; wParam
push 111h ; Msg
mov eax, [esi+20h]
push eax ; hWnd
call ds:PostMessageA
wait
; } // starts at 5105F3
mov [ebp+64h+var_68], 0FFFFFFFFhIDA中跳到一個地址或label,按 G 鍵，在編輯框中輸入label名稱或地址就行。
不好查，這些斷點都不是很快能觸發(fā)的。
非要從根上找到判斷文件被修改的實現(xiàn)也不是不行，不值當，沒那么多時間陪作者玩。
我們要的是解決問題(去掉neg彈窗)。
那只能先暴力一點點，將找到的起neg線程的地方nop掉。管他呢，將bug修復了再說。
找到的起neg線程的代碼如下：
loc_51D68F: ; jumptable 00519AAA case 5355 ; 0x14EB is 5355 push 0 push 0 ; unsigned int push 0 ; StackSize push 0 ; int push 0 ; void * push offset fn_show_neg_wnd_sub_50A1A0 ; unsigned int (__cdecl *)(void *) call ?AfxBeginThread@@YGPAVCWinThread@@P6AIPAX@Z0HIKPAU_SECURITY_ATTRIBUTES@@@Z ; AfxBeginThread(uint (*)(void *),void *,int,uint,ulong,_SECURITY_ATTRIBUTES *) mov eax, 1 wait jmp loc_51F405
給這段代碼打補丁，前9句都換成nop.
打補丁時，要注意堆棧平衡。否則打過補丁的程序跑起來，過了打補丁的地方就崩了。
打過補丁的代碼如下：
保存工程
將原始文件復制一份，改名保存. e.g. test_org.exe
保存補丁
可以看到打補丁成功。
退出IDA, 單獨直接運行修改過的同名程序。
開始跑起來，連續(xù)跑1天(24小時)，看看會出啥問題不？
neg線程前面單步調(diào)試過，除了起neg窗口和開網(wǎng)頁去官網(wǎng)下載頁，沒看到有啥其他功能。
按理說，只是去掉了neg線程的啟動，應該沒啥不良反應。
等著看療效。
測試
- 重新下載列表中的程序
啟動了安裝好的程序建立的快捷方式，程序跑起來了。
重新下載了一個下載好的文件，可以重新下載，非常好，沒有不良反應。
- 現(xiàn)在就等著就行了，看看會不會再出neg框。
前幾天測試，剛裝好，是1，2個小時就會出一次neg框。
這2天，是一天會出個幾次neg框。彈窗節(jié)奏是越來越慢了，不知道作者是不是害怕了? 還是針對調(diào)試者做了特殊處理?(看到程序中有檢測調(diào)試器的操作，邏輯沒細看)
現(xiàn)在將程序直接跑起來(2022_0505_1600)，下載都正常。準備跑12+個小時，看看還出neg窗口不？
現(xiàn)在直接將打過補丁的IDM運行起來了，已經(jīng)過去了3個小時，期間也下載了新遠程文件，功能正常。
…
現(xiàn)在已經(jīng)過了24小時了(2022_0506_1717), IDM一直開著，期間下載了幾次幾百MB的遠程文件，功能正常。
感覺是搞定了這個bug，先這樣。
END
原版作者做了一些處理，用于隱藏neg窗口的啟動流程。
不過用neg窗口這種東西，惹毛了用戶，被盯上了，就難看了:) 還不如直接不給用。
如果給用，但是不斷騷擾使用者，用戶不是憤怒(誰要是老撩撥自己，肯定不爽啊)就是好奇啊。
用戶有2種:
一種是覺得這軟件真好用，離不開啊…，非要死皮賴臉的用，過了一段時間，被neg窗口整瘋了，直接跪了，掏錢買原版。另外一種是喜歡DIY的用戶，打死都沒零錢買原版，這咋整啊?
有動手能力的用戶會嘗試去調(diào)試bug, 這是免不了的。調(diào)試個程序，誰還不會啊? 多大點事…
最后能不能將bug搞定，看實力也看運氣，啥不會我現(xiàn)學行不? 只要bug是可以重現(xiàn)的，總有解決的那一天，調(diào)試者有的是時間和思路。
總的來說，只要有需求，調(diào)試者(逆向工程師)比作者(純正向工程師)更有耐心。
作者要考慮的多，必有疏漏。這是一定的。不是有個成語"百密一疏"么？
調(diào)試者只是針對一個bug，可以撒著歡的調(diào)試。
補充 - 2022_0518_1602
現(xiàn)在已經(jīng)用改過的IDM 6.40.11.2 很久了. 效果非常好, 沒有副作用.
看來bug修正思路是正確的.
補充 - 2022_0530_1638
有的同學非要下載鏈接, 還不是一個人這樣要求…
鄙人承諾: 此博客文章沒有下載鏈接.
我們都不要做違法的事情, 這是底線啊.
IDM 6.40.11.2 的這個彈窗bug, 修正的思路和實現(xiàn)細節(jié)已經(jīng)描述的很清楚. 僅供有興趣的同學在DIY時參考.
只是拋磚引玉, 說不定能引發(fā)您想出更好的思路.
對DIY沒興趣的同學, 只能坐等網(wǎng)上大神們放出新的和諧包了. 請不要在此博客再留言要下載鏈接.
補充 - 2022_1021_2149
今天有同學留言, 問具體咋解決的.
看到這樣的留言, 整的我好無語. 這文章不是將思路和實現(xiàn)細節(jié)都講清楚了么? 言無不盡啊, 不知道再補充些什么才好.
如果看了這篇文章還不知道怎么用DIY的方法來解決IDM彈窗的bug, 那說明您需要補充一些逆向方面的知識.
基本這篇文章對您現(xiàn)階段沒用, 大家不在一個頻道.
今天這么留言的同學, 后來告訴我, 已經(jīng)找到第三方的工具(e.g. 火絨, 360), 將IDM彈窗攔截了, 不用自己來DIY.
這就對了么!
每個人遇到問題, 總是要找到適合自己現(xiàn)階段的方法. 別人的解決方案僅供參考. 如果找到的資料對自己沒用, 就繼續(xù)找資料, 做實驗.
不斷折騰, 總有能正常使用的那一個高光時刻.
這個補充說明, 不僅僅針對這個具體bug, 其他事情也是一樣的, 總是要自己不斷折騰, 才能找到適合自己現(xiàn)階段的方法. 這世界上, 現(xiàn)成的事情是很少的, 也有些事情是錢買不來的, 需要自己動手才有吃的
到此這篇關于IDM 6.40.11.2 彈窗的解決思路的文章就介紹到這了,更多相關IDM 6.40.11.2彈窗內(nèi)容請搜索腳本之家以前的文章或繼續(xù)瀏覽下面的相關文章希望大家以后多多支持腳本之家！
相關文章
這篇文章主要介紹了VS CODE 使用SVN插件的方法步驟，文中通過示例代碼介紹的非常詳細，對大家的學習或者工作具有一定的參考學習價值，需要的朋友們下面隨著小編來一起學習學習吧2020-04-04
vscode輸入npm?install報錯:node-sass@8.0.0?install:'node?
這篇文章主要給大家介紹了關于vscode輸入npm?install報錯:node-sass@8.0.0?install:'node?scripts/install.js'的解決方法,文中通過圖文介紹的非常詳細,需要的朋友可以參考下2023-02-02
這篇文章主要介紹了OAuth 2.0 概念及授權流程梳理，文中通過示例代碼介紹的非常詳細，對大家的學習或者工作具有一定的參考學習價值，需要的朋友們下面隨著小編來一起學習學習吧2020-08-08
服務器首先產(chǎn)生ETag，服務器可在稍后使用它來判斷頁面是否已經(jīng)被修改。本質(zhì)上，客戶端通過將該記號傳回服務器要求服務器驗證其（客戶端）緩存。這種機制允許緩存更有效并節(jié)省帶寬，因為如果內(nèi)容沒有更改，Web 服務器不再需要發(fā)送完整的響應。2023-05-05
這篇文章主要為大家介紹了Elasticsearch之文檔批量操作示例，有需要的朋友可以借鑒參考下，希望能夠有所幫助，祝大家多多進步，早日升職加薪2022-04-04
域名（Domain Name）是由字母、數(shù)字和連字符組成的字符串,用于標識互聯(lián)網(wǎng)上的計算機、服務或資源,通過映射到IP地址（如192.0.2.1）,讓人類能夠更方便地訪問網(wǎng)絡資源,在互聯(lián)網(wǎng)世界中,域名如同現(xiàn)實世界的門牌號碼,是連接用戶與數(shù)字資源的橋梁2025-04-04
趣談Unicode、Ascii、utf-8、GB2312、GBK等編碼知識
這篇文章主要介紹了趣談Unicode、Ascii、utf-8、GB2312、GBK等編碼知識,文章寫的詼諧風趣,膜拜啊,需要的朋友可以參考下2014-07-07
這篇文章主要介紹了使用微信助手搭建微信返利機器人流程本文給大家介紹的非常詳細，具有一定的參考借鑒價值,需要的朋友可以參考下2019-09-09
Python實現(xiàn)用戶登錄并且輸入錯誤三次后鎖定該用戶
這篇文章主要介紹了Python實現(xiàn)用戶登錄并且輸入錯誤三次后鎖定該用戶,文中通過c#代碼給大家補充介紹了密碼輸入三次錯誤后鎖定用戶功能，需要的朋友可以參考下2020-01-01
Grafana?系列之統(tǒng)一展示Prometheus數(shù)據(jù)源
這篇文章主要為大家介紹了Grafana?系列之統(tǒng)一展示Prometheus數(shù)據(jù)源配置詳解，有需要的朋友可以借鑒參考下，希望能夠有所幫助，祝大家多多進步，早日升職加薪2023-05-05