ByePg

Byepg: derrotar a Patchguard usando excepción

Byepg secuestra la mesa HalPrivatedSpatchTable para crear un gancho temprano de Bugcheck. Utilizando este gancho temprano de Bugcheck, recopila información sobre la excepción y básicamente proporciona una interfaz simple para registrar un controlador de excepción de alto nivel en todo el sistema.

Se puede implementar una variedad de ganchos de núcleos utilizando este método sin pasar por completo PatchGuard y HVCI, ya que crea una superficie de ataque completamente nueva, enganche basado en excepción, que anteriormente no era posible en el núcleo de Windows.

Escritura:

https://blog.can.ac/2019/10/19/byepg-defeating-patchguard-using-exception-hooking/

Estructura del proyecto:

• ByePgLib contiene la biblioteca base
• ExHook contiene un ejemplo de enganche syscall independiente usando byepg
• ExceptionHookingDemo demuestra el manejador de excepciones
• InfinityHookFix contiene una muestra que hace que el reciente parche de Infinityhook de Microsoft sea inútil
• FreeSeh contiene un módulo SEH-VIA-BYEPG que le permite usar SEH en imágenes mapeadas manuales sin pasar por alto las comprobaciones de la tabla de funciones invertidas de Patchguard

Resultado:

PD

Hay muchas otras cosas que se pueden hacer utilizando la biblioteca base y muchas cosas se pueden mejorar, ser un manejo o análisis de cheques, por lo que realmente apreciaría cualquier forma de contribución a este repositorio.