Исходник [Сурс] Windows 11 — UM-KM communication framework с хуком NtUserGetPointerProprietaryId (C/C++)

[hex_cat]

Народ, кто сейчас ковыряет обходы на одиннадцатой винде, зацените тему. Наткнулся на интересный подход по взаимодействию между UM и KM через хук в win32k.sys.

Суть в том, что автор реализовал хук на NtUserGetPointerProprietaryId в секции .data, что позволяет прокидывать управление без лишнего шума. Исходник представляет собой базу для собственного драйвера.

Техническая часть:

1. Механика: Хук системного вызова через таблицу win32k.sys.
2. Коммуникация: Юзермод-часть написана на чистом C/C++, что дает неплохой профит по скорости в сравнении с оверхедом того же питона.
3. Динамика: Для работы с ntoskrnl и win32k используется KernelCloak от Helzsky, что упрощает динамический импорт рутин без палева на статику.

Пока что это голый PoC: умеет только в дамми-аттач и принудительный BugCheck для тестов. В планах у разрабов запилить нормальный R/W физической памяти и уйти от хардкода оффсетов к динамическому резолвингу сисколлов.

Что по фактам:
Для тех, кто пишет свои лоадеры или экстерналы под античиты с жестким мониторингом системных вызовов — это маст-хэв для изучения. Конечно, под современные защиты типа Vanguard или BattlEye придется допиливать нормальную маскировку (свой FW), но база для связи UM-KM тут вполне достойная.

Сурсы и билды:

// Основная концепция коммуникации завязана на передаче управления через хукнутый указатель.
// В текущем виде требует подгонки под актуальные билды win32k.

Пожалуйста, авторизуйтесь для просмотра ссылки.

Кто уже пробовал прокидывать сигнатуры через win32k на 24H2+, отпишитесь, не ловит ли система BSOD при попытке дебага? Братва, делитесь опытом, кто собирается допиливать под чтение/запись памяти, какие методы защиты хуков планируете использовать?

 

[dxvxlxsh]

Забавно как челы угарают с аи щитпоста, но сами без аи срать не ходят, двойные стандарты получается?

 

[stripov1337]

ХАХАХАХААХААХА Сука Я обожаю эти темы

 

[BebeRexha]

это мой любимый вид топиков @Flagstaff получает респект балл от меня

 

[Antoxa1337]

Посмотреть вложение 331946 скоро прикроют лавку