inline_syscall

inline_syscall

Biblioteca solo de encabezado que le permite generar instrucciones directas de SYSCall de manera optimizada, inlinable y fácil de usar.

Cómo usar

Todo lo que tiene que hacer es copiar los archivos de encabezado y llamar a la función de inicialización init_syscalls_list antes de usar INLINE_SYSCALL(function_pointer) e INLINE_SYSCALL_T(function_type) macros.

 // This header contains the initialization function.
// If you already initialized, inline_syscall.hpp contains all you need.
# include " inline_syscall/include/in_memory_init.hpp "

// Needs to be called once at startup before INLINE_SYSCALL is used.
jm::init_syscalls_list ();

// Usage of the main macro INLINE_SYSCALL
void * allocation = nullptr ;
SIZE_T size      = 0x1000 ;
NTSTATUS status  = INLINE_SYSCALL(NtAllocateVirtualMemory)((HANDLE)- 1 , &allocation, 0 , &size, MEM_RESERVE | MEM_COMMIT, PAGE_READWRITE);

¿Qué código genera?

Como uno de los principales objetivos de esta biblioteca es estar lo más optimizado posible aquí es la salida de una compilación optimizada.

 mov qword ptr [ rsp + 30h ], 0                  ; void* allocation = nullptr
mov qword ptr [ rsp + 28h ], 1000h              ; SIZE_T size      = 0x1000;
mov eax , dword ptr [ entry ( 07FF683157004h ) ] ; syscall id is loaded
lea rdx , [ rsp + 30h ]                          ; BaseAddress     = &allocation
lea r9 , [ rsp + 28h ]                           ; RegionSize      = &size
mov r10 , 0FFFFFFFFFFFFFFFFh                 ; ProcessHandle   = -1
xor r8d , r8d                                 ; ZeroBits        = 0
sub rsp , 40h                                 ; preparing stack
mov qword ptr [ type ], 3000h                  ; AllocationType  = MEM_RESERVE | MEM_COMMIT
mov qword ptr [ protect ], 4                  ; Protect         = PAGE_READWRITE
syscall                                     ; syscall instruction itself
add rsp , 40h                                 ; restoring stack 

Preguntas frecuentes

• P: ¿Cuáles son los principales usos de esto? A: ofuscación y evitación del gancho.
• P: ¿Por qué usaría esto en alguna otra biblioteca? R: El código que genera se puede ingresar y está optimizado para cada recuento de parámetros tanto como sea posible.
• P: ¿Por qué no puede funcionar esto en MSVC? R: MSVC no es compatible con el ensamblaje en línea de estilo GCC que el compilador puede optimizar y trabajar adecuadamente.
• P: ¿Por qué no puede funcionar esto en GCC? R: Al contrario de MSVC, GCC es demasiado bueno para optimizar el ensamblaje en línea y, como tal, rompe mi código que intenta ser algo genérico.

Creando su propia función de inicialización

Esta biblioteca le permite crear sus propias rutinas de inicialización personalizadas que sean más resistentes a la falta de syscalls o adquirir IDS SYSCall de alguna otra manera.

JM_INLINE_SYSCALL_ENTRY_TYPE se puede definir con su propio tipo de entrada syscall que debe ser construible a partir de un hash. Por defecto, se usa syscall_entry_small , pero también se envía syscall_entry_full .

Si desea utilizar la macro INLINE_SYSCALL proporcionada, deberá usar la función jm::hash proporcionada.

Para adquirir el inicio de las entradas de Syscall, debe llamar jm::syscall_entries() e iterar hasta llegar a una entrada cero.