inline_syscall

inline_syscall

헤더 전용 라이브러리는 최적화되고 불가능하며 사용하기 쉬운 방식으로 직접 SyScall 명령을 생성 할 수 있습니다.

사용 방법

INLINE_SYSCALL(function_pointer) 및 INLINE_SYSCALL_T(function_type) 매크로를 사용하기 전에 헤더 파일을 복사하고 초기화 함수 init_syscalls_list 호출하기 만하면됩니다.

 // This header contains the initialization function.
// If you already initialized, inline_syscall.hpp contains all you need.
# include " inline_syscall/include/in_memory_init.hpp "

// Needs to be called once at startup before INLINE_SYSCALL is used.
jm::init_syscalls_list ();

// Usage of the main macro INLINE_SYSCALL
void * allocation = nullptr ;
SIZE_T size      = 0x1000 ;
NTSTATUS status  = INLINE_SYSCALL(NtAllocateVirtualMemory)((HANDLE)- 1 , &allocation, 0 , &size, MEM_RESERVE | MEM_COMMIT, PAGE_READWRITE);

어떤 코드가 생성됩니까?

이 라이브러리의 주요 목표 중 하나는 가능한 한 최적화되어야합니다. 여기에서 최적화 된 빌드의 출력이 있습니다.

 mov qword ptr [ rsp + 30h ], 0                  ; void* allocation = nullptr
mov qword ptr [ rsp + 28h ], 1000h              ; SIZE_T size      = 0x1000;
mov eax , dword ptr [ entry ( 07FF683157004h ) ] ; syscall id is loaded
lea rdx , [ rsp + 30h ]                          ; BaseAddress     = &allocation
lea r9 , [ rsp + 28h ]                           ; RegionSize      = &size
mov r10 , 0FFFFFFFFFFFFFFFFh                 ; ProcessHandle   = -1
xor r8d , r8d                                 ; ZeroBits        = 0
sub rsp , 40h                                 ; preparing stack
mov qword ptr [ type ], 3000h                  ; AllocationType  = MEM_RESERVE | MEM_COMMIT
mov qword ptr [ protect ], 4                  ; Protect         = PAGE_READWRITE
syscall                                     ; syscall instruction itself
add rsp , 40h                                 ; restoring stack 

FAQ

• Q : 이것의 주요 용도는 무엇입니까? A : 난독 화 및 후크 회피.
• Q : 왜 다른 도서관에서 이것을 사용합니까? A :이 생성 된 코드는 인쇄 될 수 있으며 가능한 한 모든 단일 매개 변수 수에 대해 최적화됩니다.
• Q : 왜 MSVC에서 작동 할 수 없습니까? A : MSVC는 GCC 스타일 인라인 어셈블리를 지원하지 않으며 컴파일러에서 올바르게 최적화하고 작업 할 수 있습니다.
• Q : 왜 GCC에서 작동 할 수 없습니까? A : MSVC와 달리 GCC는 인라인 어셈블리를 최적화하는 데 너무 능숙하며, 따라서 다소 일반적인 코드를 깨뜨립니다.

자신의 초기화 기능을 작성합니다

이 라이브러리를 사용하면 누락 된 SYSCALL에 대해 더욱 복원하거나 다른 방식으로 SYSCALL ID를 획득하는 고유 한 사용자 정의 초기화 루틴을 만들 수 있습니다.

JM_INLINE_SYSCALL_ENTRY_TYPE 해시에서 구성 가능 해야하는 자신의 SyScall 입력 유형으로 정의 할 수 있습니다. 기본적으로 syscall_entry_small 이 사용되지만 syscall_entry_full 도 배송됩니다.

제공된 INLINE_SYSCALL 매크로를 사용하려면 제공된 jm::hash 기능을 사용해야합니다.

syscall 항목의 시작을 얻으려면 jm::syscall_entries() 호출하고 제로 항목에 맞을 때까지 반복해야합니다.