deputation/instrumentation_callbacksEin Proof of Concept, das Instrumentierungs-Callbacks auf Windows 10 21h1 mit einer TLS-Variable demonstriert, um sicherzustellen, dass alle Syscalls abgefangen werden.
Instrumentierungs-Callbacks sind eine ziemlich lustige undokumentierte Funktion von Windows. Der gesamte Code in diesem Repository wird unter der MIT-Lizenz veröffentlicht. Dieses Repository verwendet Google Style C++-Einrückung.
PRs sind willkommen, wenn Sie Probleme, Fehler finden oder glauben, dass eine bestimmte Funktion hinzugefügt werden sollte.
Instrumentierungs-Callbacks ermöglichen es Ihnen, alle Syscalls (und Ausnahmen!) zu behandeln, die von einem Prozess ausgelöst werden, für den Sie einen Callback platziert haben.
Natürlich wird jeder Syscall abgefangen, während der Callback ausgeführt wird, sollten Sie normalerweise keine weiteren Syscalls darin auslösen, es sei denn, Sie möchten endlos rekursieren.
Dies würde stark einschränken, was Sie innerhalb des Callbacks tun können, oder zumindest eine Designherausforderung darstellen, aber im nächsten Absatz sehen Sie eine ziemlich elegante Lösung des Problems.
Es ist nicht perfekt, da ein eventueller Angreifer absichtlich die Variable setzen kann, um den Callback zu deaktivieren, aber für Analysezwecke ist es nahezu perfekt.
Eine Lösung für dieses Problem könnte das Setzen eines Flags auf wahr/falsch sein, das die Analysefähigkeiten des Callbacks aktiviert/deaktiviert, sodass im Wesentlichen jeder Syscall durchgelassen wird, wenn bereits ein anderer Syscall bearbeitet wird.
Dies wird jedoch die meisten Syscalls durchlassen.
Dieses Repository hingegen löst das Problem, keine Syscalls innerhalb eines Callbacks ausführen zu können, indem es eine TLS-abhängige Variable setzt, sodass wir sicherstellen, dass wir alle Syscalls von allen Threads bearbeiten, während wir sie selbst aufrufen können. Die einzigen Syscalls, die wir verpassen, sind die, die wir innerhalb des Callbacks auslösen, was uns (in den meisten Situationen, wie etwa bei der Analyse von Software) wohl egal ist.
Instrumentierungs-Callbacks haben viele mögliche Anwendungen, eine davon könnte für Anti-Cheat-Zwecke sein. Sie könnten Syscalls analysieren, die vom Prozess kommen, und feststellen, ob sie von einem illegitimen Adressraum stammen oder für böswillige Zwecke verwendet werden, ohne System-DLLs mit Bytepatches und Hooks füllen zu müssen.
Sie könnten sie auch nutzen, um Codeausführung innerhalb eines Prozesses zu erlangen. Wenn Sie Speicher zuweisen und beschreiben können, dann die Prozessinformationen setzen, können Sie einen Thread, der einen Syscall ausführt, kapern, indem Sie ihn Ihren Callback aufrufen lassen.
Natürlich befürworte ich nicht die Verwendung von Code in diesem oder meinen anderen Repositories zur Entwicklung von Cheating-/Schadsoftware.
Was Sie damit tun, liegt in Ihrer eigenen Verantwortung.
