efiguard-detect

die dümmste mögliche Methode, um zu überprüfen, ob EfiGuard Ihren PatchGuard getötet hat oder nicht.

Funktionsweise

efiguard hinterlässt zur Laufzeit eine SetVariable-Hintertür – wir stupsen sie einfach aus dem Benutzermodus an und bitten sie, 2 Bytes an der ntoskrnl-Basis zu lesen. Wenn wir MZ zurückbekommen, ist die Hintertür aktiv, efiguard hat seine Arbeit getan, pg ist tot.

Einschränkungen

• funktioniert nur, wenn der Benutzer die standardmäßige DSE-Umgehungsmethode (DSE_DISABLE_SETVARIABLE_HOOK) gewählt hat – was die Standardeinstellung ist.
• Wenn stattdessen DSE_DISABLE_AT_BOOT gewählt wurde, wird der Hook bei ExitBootServices entfernt und es gibt nichts aus dem Benutzermodus zu erkennen.
• Erfordert Administratorrechte + SeSystemEnvironmentPrivilege.

Build

cl /EHsc src/main.cpp /link ntdll.lib psapi.lib

Quelle

src/main.cpp