ByePg

BYEPG: derrotar o patchguard usando excepcionários

A BYEPG seqüestra a tabela HalprivatedEnpatchtable para criar um gancho de bunda. Utilizando esse gancho de b-Bugcheck, coleta informações sobre a exceção e basicamente fornece uma interface simples para registrar um manipulador de exceção de alto nível em todo o sistema.

Uma variedade de ganchos do kernel pode ser implementada usando esse método, ignorando completamente o PatchGuard e o HVCI, pois cria uma superfície de ataque totalmente nova, uma enxugada baseada em exceção, que anteriormente não era possível no kernel do Windows.

Writeup:

https://blog.can.ac/2019/10/19/byepg-deeteating-patchguard-using-exception-hooking/

Estrutura do projeto:

• ByePgLib contém a biblioteca base
• ExHook contém um exemplo de gancho de syscall independente usando BYEPG
• ExceptionHookingDemo demonstra o manipulador de exceção
• InfinityHookFix contém uma amostra renderizando o recente Patch InfinityHook pela Microsoft inútil
• FreeSeh contém um módulo SEH-VIA-BYEPG, permitindo que você use o SEH em imagens mapeadas manuais, ignorando as verificações da tabela de funções invertidas de Patchguard

Resultado:

Ps

Existem muitas outras coisas que podem ser feitas usando a biblioteca base e muitas coisas podem ser melhoradas, serem o manuseio ou a análise de bugs, para que eu realmente apreciasse qualquer forma de contribuição para este repositório.