inline_syscall

inline_syscall

Заголовок только библиотека, которая позволяет вам генерировать прямые инструкции SYSCALL оптимизированным, инлиниейным и простым в использовании.

Как использовать

Все, что вам нужно сделать, это скопировать по файлам заголовка и вызвать функцию инициализации init_syscalls_list прежде чем использовать макросы INLINE_SYSCALL(function_pointer) и INLINE_SYSCALL_T(function_type) .

 // This header contains the initialization function.
// If you already initialized, inline_syscall.hpp contains all you need.
# include " inline_syscall/include/in_memory_init.hpp "

// Needs to be called once at startup before INLINE_SYSCALL is used.
jm::init_syscalls_list ();

// Usage of the main macro INLINE_SYSCALL
void * allocation = nullptr ;
SIZE_T size      = 0x1000 ;
NTSTATUS status  = INLINE_SYSCALL(NtAllocateVirtualMemory)((HANDLE)- 1 , &allocation, 0 , &size, MEM_RESERVE | MEM_COMMIT, PAGE_READWRITE);

Какой код он генерирует

В качестве одной из основных целей этой библиотеки - быть максимально оптимизированным, вот вывод оптимизированной сборки.

 mov qword ptr [ rsp + 30h ], 0                  ; void* allocation = nullptr
mov qword ptr [ rsp + 28h ], 1000h              ; SIZE_T size      = 0x1000;
mov eax , dword ptr [ entry ( 07FF683157004h ) ] ; syscall id is loaded
lea rdx , [ rsp + 30h ]                          ; BaseAddress     = &allocation
lea r9 , [ rsp + 28h ]                           ; RegionSize      = &size
mov r10 , 0FFFFFFFFFFFFFFFFh                 ; ProcessHandle   = -1
xor r8d , r8d                                 ; ZeroBits        = 0
sub rsp , 40h                                 ; preparing stack
mov qword ptr [ type ], 3000h                  ; AllocationType  = MEM_RESERVE | MEM_COMMIT
mov qword ptr [ protect ], 4                  ; Protect         = PAGE_READWRITE
syscall                                     ; syscall instruction itself
add rsp , 40h                                 ; restoring stack 

Часто задаваемые вопросы

• Q: Каковы основные использование этого? A: запутывание и избегание крючков.
• В: Зачем мне использовать это над какой -то другой библиотекой? A: Код, который генерирует, может быть вставлен, и он оптимизирован для каждого отдельного количества параметров, насколько это возможно.
• В: Почему это не может работать на MSVC? О: MSVC не поддерживает встроенную сборку стиля GCC, которая может быть должным образом оптимизирована и работала над компилятором.
• В: Почему это не может работать на GCC? A: Вопреки MSVC, GCC слишком хорош в оптимизации встроенной сборки и, как таковой, нарушает мой код, который старается быть несколько общим.

Создание собственной функции инициализации

Эта библиотека позволяет вам создавать свои собственные процедуры инициализации, которые более становятся в отношении пропущенных Syscalls или приобретать идентификаторы Syscall каким -то другим образом.

JM_INLINE_SYSCALL_ENTRY_TYPE может быть определен с помощью вашего собственного типа записи SYSCALL, который должен быть построен из хэша. По умолчанию используется syscall_entry_small , но syscall_entry_full также отправляется.

Если вы хотите использовать предоставленный макрос INLINE_SYSCALL вам нужно будет использовать предоставленную функцию jm::hash .

Чтобы получить начало записей Syscall, вам нужно позвонить jm::syscall_entries() и итерация, пока вы не достигнете нулевой записи.