lazy_importer

importir malas

Perpustakaan hanya header yang sederhana dan mudah digunakan untuk membuat kehidupan seorang insinyur terbalik lebih keras.

contoh kecil

 LI_FN (OutputDebugStringA)( " hello world " );
LI_FN (VirtualProtect).in(LI_MODULE( " kernel32.dll " ).cached());

Output IDA Saat menyusun baris pertama

fitur

• Tidak meninggalkan string dalam memori.
• Tidak mengalokasikan memori apa pun.
• Bisa dengan mudah dilapisi.
• Tidak meninggalkan impor apa pun di executable.
• Menghasilkan perakitan yang sangat kecil.
• Fungsi non -caching tidak meninggalkan apa pun di bagian data.
• Hash diacak untuk setiap kompilasi untuk mengalahkan serangan basis data hash dasar.

dokumentasi

• LI_FN(function_pointer) -> lazy_function
• LI_FN_DEF(function_type) -> lazy_function
• LI_MODULE(module_name) -> lazy_module

---

• safe menunjukkan bahwa ketika fungsi tidak dapat menyelesaikan tugasnya dengan sukses 0 dikembalikan alih -alih perilaku yang tidak terdefinisi.
• cached menunjukkan bahwa hasilnya hanya dihitung selama panggilan pertama dan kemudian digunakan kembali.
• forwarded menunjukkan bahwa penerusan ekspor akan diselesaikan dengan benar.

lazy_module

fungsi	aman	di -cache
Upaya untuk menemukan modul yang diberikan dan mengembalikan alamatnya
get<T = void*>() -> T
safe<T = void*>() -> T	✅
cached<T = void*>() -> T		✅
safe_cached<T = void*>() -> T	✅	✅
Pencarian untuk menemukan modul yang diberikan menggunakan pointer ldr_data_table_entry yang diberikan
in<T = void*, Ldr>(Ldr ldr_entry) -> T	✅
in_cached<T = void*, Ldr>(Ldr ldr_entry) -> T	✅	✅

lazy_function<F>

fungsi	aman	di -cache	diteruskan
Panggilan Ekspor Terselesaikan Menggunakan argumen yang diberikan
operator()(...) -> result_of<F, ...>
upaya untuk menyelesaikan ekspor di semua modul yang dimuat dan mengembalikan alamat fungsi
get<T = F>() -> T
safe<T = F>() -> T	✅
cached<T = F>() -> T		✅
safe_cached<T = F>() -> T	✅	✅
forwarded<T = F>() -> T			✅
forwarded_safe<T = F>() -> T	✅		✅
forwarded_cached<T = F>() -> T		✅	✅
forwarded_safe_cached<T = F>() -> T	✅	✅	✅
upaya untuk menyelesaikan ekspor dalam modul yang diberikan dan mengembalikan alamat fungsi
in<T = F, A>(A module_address) -> T
in_safe<T = F, A>(A module_address) -> T	✅
in_cached<T = F, A>(A module_address) -> T		✅
in_safe_cached<T = F, A>(A module_address) -> T	✅	✅
upaya untuk menyelesaikan ekspor di ntdll dan mengembalikan alamat fungsi
nt<T = F>() -> T
nt_safe<T = F>() -> T	✅
nt_cached<T = F>() -> T		✅
nt_safe_cached<T = F>() -> T	✅	✅

Konfigurasi tambahan

#define	efek
LAZY_IMPORTER_NO_FORCEINLINE	menonaktifkan kekuatan pasukan inlining
LAZY_IMPORTER_CASE_INSENSITIVE	memungkinkan perbandingan case tidak sensitif. Mungkin diperlukan untuk resolusi ekspor yang diteruskan.
LAZY_IMPORTER_CACHE_OPERATOR_PARENS	menggunakan cached() bukan get() di operator() dari lazy_function
LAZY_IMPORTER_RESOLVE_FORWARDED_EXPORTS	Penggunaan forwarded() di get() . Peringatan tidak berlaku untuk nt() dan in() .
LAZY_IMPORTER_HARDENED_MODULE_CHECKS	Menambahkan pemeriksaan kewarasan tambahan ke enumerasi modul.
LAZY_IMPORTER_NO_CPP_FORWARD	Menghapus ketergantungan pada header <utility> C ++.

output contoh

 for ( i = * ( _QWORD * * )( * ( _QWORD * )( __readgsqword ( 0x60u ) + 24 ) + 16 i64 ); ; i = ( _QWORD * ) * i )
  {
    v1 = i [ 6 ];
    v2 = * ( unsigned int * )( * ( signed int * )( v1 + 60 ) + v1 + 136 );
    v3 = ( _DWORD * )( v2 + v1 );
    if ( v2 + v1 != v1 )
    {
      LODWORD ( v4 ) = v3 [ 6 ];
      if ( ( _DWORD ) v4 )
        break ;
    }
LABEL_8:
    ;
  }
  while ( 1 )
  {
    v4 = ( unsigned int )( v4 - 1 );
    v5 = -2128831035 ;
    v6 = ( char * )( v1 + * ( unsigned int * )(( unsigned int ) v3 [ 8 ] + 4 * v4 + v1 ));
    v7 = * v6 ;
    v8 = ( signed __int64 )( v6 + 1 );
    if ( v7 )
    {
      do
      {
        ++ v8 ;
        v5 = 16777619 * ( v5 ^ v7 );
        v7 = * ( _BYTE * )( v8 - 1 );
      }
      while ( v7 );
      if ( v5 == -973690651 )
        break ;
    }
    if ( !( _DWORD ) v4 )
      goto LABEL_8;
  }
  (( void (__fastcall * )( const char * ))( v1
                                     + * ( unsigned int * )( v1
                                                       + ( unsigned int ) v3 [ 7 ]
                                                       + 4 i64 * * ( unsigned __int16 * )( v1 + ( unsigned int ) v3 [ 9 ] + 2 * v4 ))))( "hello world" );

Orang yang telah mendukung proyek ini

Saya ingin mengucapkan terima kasih kepada orang -orang yang telah menjangkau saya dan menyumbangkan sejumlah uang untuk mendukung saya dan proyek saya

• @Defcon42
• @Mecanik