إعادة بناء NTDLL

تقنية تجاوز EDR في وضع المستخدم تتيح لك التبديل بين ntdll.dll غير المُعطَّل والمُعطَّل حسب الرغبة. يمكن العثور على كيفية بنائي لهذا هنا.

الاستخدام

يمكنك ببساطة سحب وإفلات ملف .h وملف .c إلى مشروعك، تأكد من تحرير تعريف ملف الرأس لدوال CRT التي يجب إما إعادة تنفيذها من قبلك أو استخدام أي شيء تريده. ستحتاج أيضًا إلى تحرير دالة switch_memory_protection داخل ملف .c نظرًا لأنك تحتاج إلى تنفيذ ذلك بنفسك لكي يعمل المشروع بشكل صحيح.

إليك مقتطف حول كيفية استخدام المكتبة:

struct hook_cache	*cache = 0;

cache = ntdll_reconstruction_init();
if (cache == 0)
	// Throw Error!
while (1) {
	// Do whatever
	cache = ntdll_reconstruction_flip(cache); // Back to hooked stub
	if (cache == 0)
		// Throw Error!
	Sleep(1234);
	cache = ntdll_reconstruction_flip(cache); // Back to clean stub
	if (cache == 0)
		// Throw Error!
}