inline_syscall

inline_syscall

仅标头库，它允许您以优化，不可限制且易于使用的方式生成直接的SYSCALL指令。

如何使用

您所要做的就是复制标题文件，并在使用INLINE_SYSCALL(function_pointer)和INLINE_SYSCALL_T(function_type) macros之前调用初始化函数init_syscalls_list 。

 // This header contains the initialization function.
// If you already initialized, inline_syscall.hpp contains all you need.
# include " inline_syscall/include/in_memory_init.hpp "

// Needs to be called once at startup before INLINE_SYSCALL is used.
jm::init_syscalls_list ();

// Usage of the main macro INLINE_SYSCALL
void * allocation = nullptr ;
SIZE_T size      = 0x1000 ;
NTSTATUS status  = INLINE_SYSCALL(NtAllocateVirtualMemory)((HANDLE)- 1 , &allocation, 0 , &size, MEM_RESERVE | MEM_COMMIT, PAGE_READWRITE);

它生成了什么代码

由于该库的主要目标之一是要尽可能优化，这是优化构建的输出。

 mov qword ptr [ rsp + 30h ], 0                  ; void* allocation = nullptr
mov qword ptr [ rsp + 28h ], 1000h              ; SIZE_T size      = 0x1000;
mov eax , dword ptr [ entry ( 07FF683157004h ) ] ; syscall id is loaded
lea rdx , [ rsp + 30h ]                          ; BaseAddress     = &allocation
lea r9 , [ rsp + 28h ]                           ; RegionSize      = &size
mov r10 , 0FFFFFFFFFFFFFFFFh                 ; ProcessHandle   = -1
xor r8d , r8d                                 ; ZeroBits        = 0
sub rsp , 40h                                 ; preparing stack
mov qword ptr [ type ], 3000h                  ; AllocationType  = MEM_RESERVE | MEM_COMMIT
mov qword ptr [ protect ], 4                  ; Protect         = PAGE_READWRITE
syscall                                     ; syscall instruction itself
add rsp , 40h                                 ; restoring stack 

常问问题

• 问：这是什么主要用途？答：混淆和避免钩子。
• 问：为什么我要在其他库上使用它？答：该生成的代码可以被嵌入，并对每个参数进行优化。
• 问：为什么这在MSVC上无法使用？答：MSVC不支持GCC样式内联装配，该组件可以由编译器正确优化和处理。
• 问：为什么这在海湾合作委员会上无法使用？答：与MSVC相反，GCC擅长优化内联装配，因此打破了我的代码，试图有些通用。

创建自己的初始化功能

该库使您能够创建自己的自定义初始化例程，这些例程对缺少Syscall或以其他方式获取Syscall ID更具弹性。

JM_INLINE_SYSCALL_ENTRY_TYPE可以使用您自己的SYSCALL输入类型来定义，该类型需要从哈希构建。默认情况下，使用了syscall_entry_small ，但syscall_entry_full也已发货。

如果要使用提供的INLINE_SYSCALL宏，则需要使用提供的jm::hash函数。

要获取SYSCALL条目的开始，您需要调用jm::syscall_entries()并迭代，直到您达到零条目。