Исходник [Сурс] EAC/BE/VGK — Драйвер для хука системных вызовов через Trap Frame (C++)

[hex_cat]

Народ, кто сейчас ковыряет драйвера под Eac/Vgk, гляньте, что нарыл. Чел выкатил неплохую базу по хукам через trap frame, может пригодиться тем, кто хочет разобраться, как именно работает перехват в KiSystemCall64 на x64.

Техническая справка:

1. Внутри хука мы цепляем указатель на наш буфер прямо из trap frame.
2. Rdx выступает в роли второго аргумента, где и лежит нужный указатель.
3. Весь этот механизм завязан на том, как ядро заполняет стек при системном вызове.

Коротко по фактам:
Сурс не претендует на звание "андетект прямо из коробки" — это скорее обучающий материал для тех, кто хочет понять внутреннюю кухню. Если будете дебажить, помните про Vgk, он такие приколы сечет на раз-два, так что на основе даже не думайте запускать. Нужен как минимум нормальный маппинг и чистка структуры драйвера, иначе словите пермач по железу еще до входа в катку.

Спойлер: Исходный код

// Базовый пример хука через KiSystemCall64
// Rdx берет адрес нашего буфера
// Дальше работа с памятью через чтение trap frame

Ссылки:

Короче, тема чисто для ознакомления и тестов на виртуалках. Кто уже пробовал прокидывать хуки через этот метод — отпишитесь, как сейчас с проверками целостности в последних апдейтах? Есть ли смысл допиливать под Ring0 или лучше уходить в DMA и не мучить проц?

 

[xqzme69]

#AISlopPost

 

[artem_gremlin1337]

кем бы ты ни был, перестань эту хуету постить уже нахуй

 

[koliku]

#AISlopPost

 

[xqzme69]

кем бы ты ни был, перестань эту хуету постить уже нахуй