Вопрос Как детектить прямые сисколы

[KVANTOR815]

С


Как можно детектить прямые сисколы, HWDB хуки особо не помогут.

Я хотел попробовать реализовать сканирование памяти на 0F 05 байты, но не нашел на гите ниче подобного, может у кого то код будет или альтернативные идеи, буду благодарен.

 

[DiveriX]

можно использовать ring0 сискол мониторы, либо через instrumentation_callbacks

 

[mhalaider]

Если речь только про UM (User-mode) x64, то этим может заниматься instrumentation callback пример реализации и простого использования можешь найти

Пожалуйста, авторизуйтесь для просмотра ссылки.

. Но нюанс такого метода, что ты чаще всего не можешь узнать с каким индексом вызывался сискол. Если же твоё приложение имеет 32-битную разрядность, то можно установить хук на Wow64Transition, тут уже у тебя будет больше информации.

А вот в KM (Kernel-mode) появляется конечно больше простора, тот же обработчик KiSystemCall позволит обрабатывать сисколы вызванные из UM. Но, как известно, некоторые забавные вещи уголовно наказуемы, так что для прямых хуков понадобится отключение патчгуарда.

 

[exerciseweaxzx]

щас бы гидры поюзать

 

[KVANTOR815]

Если речь только про UM (User-mode) x64, то этим может заниматься instrumentation callback пример реализации и простого использования можешь найти

Пожалуйста, авторизуйтесь для просмотра ссылки.

. Но нюанс такого метода, что ты чаще всего не можешь узнать с каким индексом вызывался сискол. Если же твоё приложение имеет 32-битную разрядность, то можно установить хук на Wow64Transition, тут уже у тебя будет больше информации.

А вот в KM (Kernel-mode) появляется конечно больше простора, тот же обрарботчик KiSystemCall позволит обрабатывать сисколы вызванные из UM. Но, как известно, некоторые забавные вещи уголовно наказуемы, так что для прямых хуков понадобится отключение патчгуарда.

Первое будто бы довольно муторное занятие с имеющимся минусами

Тогда уж да, более рациональным решением будет на кернел левел перейти, там возможностей да побольше

 

[TheXSVV]

но не нашел на гите ниче подобного

и? так ты попробовать хотел или спиздить реализацию с гитхаба? действительно такой подход существует и работает

 

[KVANTOR815]

и? так ты попробовать хотел или спиздить реализацию с гитхаба? действительно такой подход существует и работает

Посмотреть на саму реализацию, потом уже попытаться что-то свое реализовать