皮皮网
皮皮网
-48的源码是

【fpga arm核源码】【白鹭引擎仙侠源码】【辅助介绍官网源码】源码免杀处理

时间:2024-12-24 09:07:10 分类:综合 编辑:茅台箱子的溯源码跟瓶子的溯源码
1.免杀动态对抗之syscall[源码分析]

源码免杀处理

免杀动态对抗之syscall[源码分析]

       基础概念

       操作系统分为内核和应用层,源码从R0-R3,免杀R0是处理内核,R3是源码用户层。Windows中日常调用的免杀API都是R3抽象出来的接口,虽然Win API它也是处理fpga arm核源码R3接口,但由于Windows的源码设计思想就是高度封装,实际上的免杀R3 API是ntdll.dll中的函数。

       我们调用的处理Win API都是kernel.dll/user.dll中的函数,最终都要经过ntdll.dll。源码

       逆向学习一个函数,免杀选定CreateThread,处理ntdll中的源码白鹭引擎仙侠源码对应函数是NtCreateThread。可以看到首先给eax赋值(系统调用号SSN),免杀然后再执行syscall。处理

       EDR的工作原理是对Windows API进行hook。一般使用inline hook,即将函数的开头地址值改成jmp xxxxxxx(hook函数地址)。知道了syscall的辅助介绍官网源码调用模板,自己构造syscall(获取SSN,syscall),即可绕过EDR对API的hook。

       学习不同项目对应的手法,如HellsGate、TartarusGate、vue虚拟资源下载源码GetSSN、SysWhispers等。这些项目通过遍历解析ntdll.dll模块的导出表,定位函数地址,获取系统调用号SSN,实现动态获取SSN。源码安装与apt安装

       使用直接系统调用或间接系统调用,如SysWhispers系列项目的直接系统调用(手搓syscall asm)和间接系统调用(使用用户态API,如kernel.dll中的API)。系统调用号SSN在不同版本的系统下是不一样的,可以参考相关技术博客整理的列表。

       SysWhispers2使用随机系统调用跳转(Random Syscall Jumps)避免“系统调用的标记”,通过SW__GetRandomSyscallAddress函数在ntdll.dll中搜索并选择一个干净的系统调用指令来使用。

       SysWhispers3引入了egg技术(动态字符替换,汇编指令层次的混淆)和支持直接跳转到syscalls,是spoof call的变体,绕过对用户态asm文件syscall的监控。

       HWSyscalls项目通过kernel gadget,跳到ntdll.dll中做间接syscall,更彻底地实现了间接系统调用。

       这些项目的实现涉及软件中自定义堆栈流程、硬件断点等技术,通过内核函数调用、动态字符替换、异常处理机制等,绕过EDR检测和系统调用监控,实现免杀动态对抗。

本文地址:http://04.net.cn/news/1a80699192.html

copyright © 2016 powered by 皮皮网   sitemap