///////////////////////////////////////////////////////////
//
// 走到oep处,只测试在传神外挂上的hying壳版本
// 选忽略所有异常,执行脚本即可,支持hotcs.exe,main.dat 2个文件
// 感谢forgot的指导,呵呵
// 2005-7-30 17:26 by jskew
//
//
#log
var SetThrPri
var GetProHeap
var mbase
var msize
gpa "SetThreadPriority","Kernel32.dll"
find $RESULT,#C20800#
mov SetThrPri, $RESULT
bp SetThrPri
GMI eip, MODULEBASE
mov mbase,$RESULT
GMI eip, MODULESIZE
mov msize,$RESULT
esto //从ep开始,脚本开始
rtu
find eip, #2440#
mov GetProHeap,$RESULT
mov [GetProHeap], #2400# //修改GetProcessHeap
find eip, #6A006A006A11# //躲避ZwSetInformationThread破坏
bp $RESULT
esto
mov [GetProHeap], #2440# //恢复GetProcessHeap
bc $RESULT
sti
sti
sti
sti
sti
mov eip,eax
add esp,10
find eip,#6A04680010000068002000006A00# //处理iat代码解码结束
bp $RESULT
esto
bc $RESULT
find eip,#0BC00F84610100000F31# //躲避ZwQueryInformationProcess检查
bp $RESULT
esto
bc $RESULT
mov eax,0
esto
bc SetThrPri
rtu
bprm mbase,msize
esto
bpmc
ret
再修改,支持hotcs.exe文件,没2k3的机器测试,不知道怎么改了
其实我的2k sp4机器上用不了上面的代码,因为我不能停在ep处
这个脚本是对应可以停在ep的机器