ByePg

BYEPG: هزيمة PatchGuard باستخدام استثناء من البحث

byepg يختفي الجدول halpridatedispatchtable لإنشاء خطاف bugcheck في وقت مبكر. باستخدام خطاف Bugcheck المبكر هذا ، يجمع معلومات حول الاستثناء ويوفر بشكل أساسي واجهة بسيطة لتسجيل معالج استثناء على مستوى النظام عالية المستوى.

يمكن تنفيذ مجموعة متنوعة من خطافات kernel باستخدام هذه الطريقة التي تتجاوز تمامًا PatchGuard و HVCI لأنها تنشئ سطح هجوم جديد تمامًا ، التثبيت المستند إلى الاستثناء ، والذي لم يكن ممكنًا في السابق في Kernel Windows.

الكتابة:

https://blog.can.ac/2019/10/19/byepg-defeating-patchguard-using-exception-hoking/

هيكل المشروع:

• ByePgLib يحتوي على المكتبة الأساسية
• ExHook يحتوي على مثال متخلف مستقل باستخدام byepg
• ExceptionHookingDemo يوضح معالج الاستثناء
• InfinityHookFix يحتوي على عينة مما يجعل تصحيح InfinityHook الأخير من Microsoft عديمة الفائدة
• FreeSeh يحتوي على وحدة SEH-VIA-BOYEPG التي تتيح لك استخدام SEH في الصور اليدوية المعينة تتجاوز الجدول المقلوب في PatchGuard

نتيجة:

ملاحظة

هناك العديد من الأشياء الأخرى التي يمكن القيام بها باستخدام المكتبة الأساسية ويمكن تحسين أشياء كثيرة ، أو أن تكون معالجة SEH أو تحليل Bugcheck ، لذلك أود حقًا أن أقدر أي شكل من أشكال المساهمة في هذا الريبو.