ByePg

BYEPG: победить PatchGuar

BYEPG угнает таблицу HalprivatedIspatchTable, чтобы создать крюк с ранним бугкеком. Используя этот крюк с ранним бугкеком, он собирает информацию об исключении и в основном предоставляет простой интерфейс для регистрации высокоуровневого обработчика исключений в масштабах системы.

Разнообразные ядра могут быть реализованы с использованием этого метода, полностью обойдя PatchGuard и HVCI, поскольку он создает совершенно новую поверхность атаки, подключение на основе исключений, которая ранее была невозможна в ядре Windows.

Разрешение:

https://blog.can.ac/2019/10/19/byepg-deacting-patchguard-using-exception-mooking/

Структура проекта:

• ByePgLib содержит базовую библиотеку
• ExHook содержит автономный пример зацепления Syscall с использованием byepg
• ExceptionHookingDemo демонстрирует обработчик исключений
• InfinityHookFix содержит образец, представляющий собой недавний патч InfinityHook от Microsoft Unlame
• FreeSeh содержит модуль Seh-Via-byepg, позволяющий использовать SEH в ручных картированных изображениях, обходные перевернутые таблицы функций PatchGuard

Результат:

Пса

Есть много других вещей, которые можно сделать, используя базовую библиотеку, и можно улучшить много вещей, быть обработкой SEH или анализа BugCheck, поэтому я бы очень признателен за любую форму вклада в этот репо.