effective-waffle

أداة أخرى من أدوات تشفير النوم. استخدمت أيضًا اسم مستودع GitHub الافتراضي لهذا المشروع.

تُستخدم TpAllocWork + TpPostWork + TpWaitForWork + TpReleaseWork لإنشاء الاستدعاء الرجعي وتنفيذه وتنظيفه.

الاستدعاء الرجعي هو بعض التجميع المعدّل الذي يرتب عددًا كبيرًا من أدوات ROP التي ستُدخل الوسائط (إما قيمًا مكتوبة بشكل ثابت أو بناءً على إزاحة داخل بنية يتم تمريرها كمعامل إلى TpAllocWork) إلى السجلات الصحيحة، ثم تعود إلى الأداة/الدالة التالية. يتم إنشاء حشوة بين بعض استدعاءات الدوال عبر دفع 5 قيم غير مهمة + أداة لتحريك مؤشر المكدس بمقدار 40 بايت كحل مؤقت لإصلاح بعض مشاكل المكدس الغريبة التي واجهتها. هذا أيضًا على الأرجح هو السبب وراء ظهور مكدس الاستدعاءات بشكل فوضوي، لكنني لا أعرف كيف أتعامل مع ذلك.

إذا كنت تحاول توسيع هذا المشروع وجعله مفيدًا فعليًا، فسوف تواجه الكثير من العبث الغريب في المكدس (على الأقل من ناحيتي). أيضًا، لا يمكنني ضمان أن أدوات ROP التي وجدتها ستكون موجودة في جميع إصدارات Windows (كنت أطوّر على Server 2016).

شكر وتقدير

Kudaes، لإنشائه RustChain الذي جاءت منه فكرة ROP بالنسبة لي
C5pider، لإنشائه Ekko ومساعدتي في فهم تشفير النوم
x86matthew، لمساعدتي في استكشاف مشاكل المكدس الغريبة وإصلاحها
NinjaParanoid، لتوفيره مقالة مدونة حول واجهات برمجة التطبيقات Tp