//////////////////////////////////////////////////
// FileName : MSLRH V0.32.osc
// Comment : MSLRH V0.32 + MSLRH V0.32a UnPacK
// Environment : WinXP SP2,OllyDbg V1.10,OllyScript V0.92
// Author : fly
// WebSite : http://www.unpack.cn
// Date : 2006-02-01 15:00
//////////////////////////////////////////////////
#log
dbh
var Temp
var CreateMutexA
var CreateFileA
var ShareMode
var OutputDebugStringA
var ZwQueryInformationProcess
var rtr
var rtu
var CRC
var UPX
var OEP MSGYN "Plz Clear All BreakPoints And Set Debugging Options : Exceptions -> Ignore all exceptions ! "
cmp $RESULT, 0
je TryAgain
//OutputDebugStringA――――――――――――――――――――――――――――――――
gpa "OutputDebugStringA", "KERNEL32.dll"
cmp $RESULT,0
je NoFind
mov [$RESULT], #33C0C20400#
add $RESULT,2
mov OutputDebugStringA,$RESULT
bp OutputDebugStringA //FindWindowA――――――――――――――――――――――――――――――――
gpa "FindWindowA", "USER32.dll"
cmp $RESULT, 0
je NoFind
mov [$RESULT], #33C0C20800# //CreateMutexA――――――――――――――――――――――――――――――――
gpa "CreateMutexA", "KERNEL32.dll"
//find $RESULT,#C9C20C00#
cmp $RESULT,0
je NoFind
mov CreateMutexA,$RESULT
eob CreateMutexA
bp CreateMutexA
esto
GoOn0:
esto
CreateMutexA:
cmp eip,OutputDebugStringA
je MSLRH V0.32
cmp eip,CreateMutexA
jne GoOn0
bc CreateMutexA
find eip,#C20C00#
mov rtr,$RESULT
eob rtr
bp rtr
esto
GoOn1:
esto
rtr:
cmp eip,rtr
jne GoOn1
bc rtr
mov eax,0
jmp MSLRH V0.32a //MSLRH V0.32 + V0.32a――――――――――――――――――――――――――――――――
MSLRH V0.32:
bc CreateMutexA
/*
0045D582 6A 00 push 0
0045D584 68 3A0C0000 push 0C3A
0045D589 FF56 28 call dword ptr ds:[esi+28] ; kernel32.OpenProcess
0045D58C 85C0 test eax,eax
0045D58E 0F85 5EABFFFF jnz 004580F2
*/
gpa "OpenProcess", "KERNEL32.dll"
mov [$RESULT], #33C0C20C00#
MSLRH V0.32a:
bc OutputDebugStringA
//CreateFileA――――――――――――――――――――――――――――――――
gpa "CreateFileA", "KERNEL32.dll"
cmp $RESULT,0
je NoFind
mov CreateFileA,$RESULT
eob CreateFileA
bphws CreateFileA,"x"
esto
GoOn2:
esto
CreateFileA:
cmp eip,CreateFileA
jne GoOn2
bphwc CreateFileA
mov Temp,[esp]
mov ShareMode,esp
add ShareMode,0C
mov [ShareMode],00000003 //ZwQueryInformationProcess――――――――――――――――――――――――――――――――
gpa "ZwQueryInformationProcess","ntdll.dll"
cmp $RESULT,0
je NoFind
mov ZwQueryInformationProcess,$RESULT
eob ZwQueryInformationProcess
bp ZwQueryInformationProcess
esto
GoOn3:
esto
ZwQueryInformationProcess:
cmp eip,ZwQueryInformationProcess
jne GoOn3
add Temp,1000
cmp [esp],Temp
ja GoOn2
bc ZwQueryInformationProcess
find eip,#C21400#
mov rtu,$RESULT
eob rtu
bp rtu
esto
GoOn4:
esto
rtu:
cmp eip,rtu
jne GoOn4
bc rtu
sti
mov [esp],00000000 //CRC――――――――――――――――――――――――――――――――
/*
00455A27 807E 0D 00 cmp byte ptr ds:[esi+D],0
00455A2B 0F85 C0C6FFFF jnz 004520F1
00455A3A 807E 0E 00 cmp byte ptr ds:[esi+E],0
00455A3E 0F85 ADC6FFFF jnz 004520F1
00455A5B 807E 0F 00 cmp byte ptr ds:[esi+F],0
00455A5F 0F85 8CC6FFFF jnz 004520F1
*/
find eip,#807E0D000F#
mov CRC,$RESULT
eob CRC
bphws CRC,"x"
esto
GoOn5:
esto
CRC:
cmp eip,CRC
jne GoOn5
bphwc CRC
mov Temp,esi
add Temp,0C
mov [Temp],#00000000# //UPX――――――――――――――――――――――――――――――――
/*
00455B74 68 2BF45F00 push 5FF42B
00455B79 C3 retn
*/
find eip,#68????????C3#
cmp $RESULT,0
je NoFind
mov Temp,$RESULT
add Temp,5
mov UPX,Temp
eob UPX
bp UPX
esto
GoOn6:
esto
UPX:
cmp eip,UPX
jne GoOn6
bc UPX
sti
//OEP―――――――――――――――――――――――――――――――― find eip, #61E9#
cmp $RESULT,0
je GameOver
add $RESULT,1
mov OEP,$RESULT
eob OEP
bp OEP
esto
GoOn7:
esto
OEP:
cmp eip,OEP
jne GoOn7
bc OEP
sti
//GameOver――――――――――――――――――――――――――――――――
GameOver:
log eip
cmt eip, "This is the (Stolen) OEP! Found By: fly"
MSG "Just : OEP ! Dump and Fix IAT. Good Luck "
ret
NoFind:
MSG "Error! Maybe It's not MSLRH V0.32a ! "
ret
TryAgain:
MSG " Plz Try Again ! "
ret
[培训]内核驱动高级班,冲击BAT一流互联网大厂工作,每周日13:00-18:00直播授课