inline_syscall

inline_syscall

Bibliothèque d'en-tête uniquement qui vous permet de générer des instructions système directes de manière optimisée, inlinable et facile à utiliser.

Comment utiliser

Tout ce que vous avez à faire est de copier sur les fichiers d'en-tête et d'appeler la fonction d'initialisation init_syscalls_list avant d'utiliser les macros INLINE_SYSCALL(function_pointer) et INLINE_SYSCALL_T(function_type) .

 // This header contains the initialization function.
// If you already initialized, inline_syscall.hpp contains all you need.
# include " inline_syscall/include/in_memory_init.hpp "

// Needs to be called once at startup before INLINE_SYSCALL is used.
jm::init_syscalls_list ();

// Usage of the main macro INLINE_SYSCALL
void * allocation = nullptr ;
SIZE_T size      = 0x1000 ;
NTSTATUS status  = INLINE_SYSCALL(NtAllocateVirtualMemory)((HANDLE)- 1 , &allocation, 0 , &size, MEM_RESERVE | MEM_COMMIT, PAGE_READWRITE);

Quel code cela génère-t-il

Comme l'un des principaux objectifs de cette bibliothèque doit être aussi optimisé que possible, voici la sortie d'une version optimisée.

 mov qword ptr [ rsp + 30h ], 0                  ; void* allocation = nullptr
mov qword ptr [ rsp + 28h ], 1000h              ; SIZE_T size      = 0x1000;
mov eax , dword ptr [ entry ( 07FF683157004h ) ] ; syscall id is loaded
lea rdx , [ rsp + 30h ]                          ; BaseAddress     = &allocation
lea r9 , [ rsp + 28h ]                           ; RegionSize      = &size
mov r10 , 0FFFFFFFFFFFFFFFFh                 ; ProcessHandle   = -1
xor r8d , r8d                                 ; ZeroBits        = 0
sub rsp , 40h                                 ; preparing stack
mov qword ptr [ type ], 3000h                  ; AllocationType  = MEM_RESERVE | MEM_COMMIT
mov qword ptr [ protect ], 4                  ; Protect         = PAGE_READWRITE
syscall                                     ; syscall instruction itself
add rsp , 40h                                 ; restoring stack 

FAQ

• Q: Quelles sont les principales utilisations de cela? R: Obfuscation et évitement des crochets.
• Q: Pourquoi devrais-je l'utiliser sur une autre bibliothèque? R: Le code que cela génère peut être incliné et il est optimisé pour chaque nombre de paramètres autant que possible.
• Q: Pourquoi cela ne peut-il pas fonctionner sur MSVC? R: MSVC ne prend pas en charge l'assemblage en ligne de style GCC qui peut être correctement optimisé et travaillé par le compilateur.
• Q: Pourquoi cela ne peut-il pas fonctionner sur GCC? R: Contrairement à MSVC, GCC est trop bon pour optimiser l'assemblage en ligne et en tant que tel brise mon code qui essaie d'être quelque peu générique.

Création de votre propre fonction d'initialisation

Cette bibliothèque vous permet de créer vos propres routines d'initialisation personnalisées qui sont plus résistantes par rapport aux systèmes manquants ou à acquérir des IDS Syscall d'une autre manière.

JM_INLINE_SYSCALL_ENTRY_TYPE peut être défini avec votre propre type d'entrée syscall qui doit être construit à partir d'un hachage. Par défaut, syscall_entry_small est utilisé, mais syscall_entry_full est également expédié.

Si vous souhaitez utiliser la macro INLINE_SYSCALL fournie, vous devrez utiliser la fonction jm::hash .

Pour acquérir le début des entrées Syscall, vous devez appeler jm::syscall_entries() et itérer jusqu'à ce que vous frappez une entrée zéro.