TamperingSyscalls

TamperingSyscalls è un progetto inedito in 2 parti composto da argument spoofing e recupero delle syscall, che abusano entrambi di EH per aggirare gli EDR. Questo progetto include entrambe queste tecniche per fornire una soluzione alternativa alle syscall dirette.

Manomissione delle syscall.

Configura un EH globale che verrà utilizzato in seguito.

SetUnhandledExceptionFilter( OneShotHardwareBreakpointHandler );

Imposta un breakpoint hardware sull'indirizzo di un'istruzione syscall che contiene i byte 0f05 nel registro Dr0. Possiamo individuare l'indirizzo dello stub della syscall con questa rapida ricerca di byte in memoria.

BYTE stub[] = { 0x0F, 0x05 };
for( unsigned int i = 0; i < (unsigned int)25; i++ )
{
	if( memcmp( (LPVOID)((DWORD_PTR)function + i), stub, 2 ) == 0 ) {
		return (LPVOID)((DWORD_PTR)function + i);
	}
}

Possiamo quindi effettuare una chiamata a questa funzione passando NULL per i <=4 argomenti (che tendono ad essere gli argomenti più importanti contenenti informazioni come handle di processo, ecc.). Impostiamo anche EnumState sull'Enum corrispondente per questa funzione (così possiamo successivamente correggere gli argomenti).
Sebbene l'EDR abbia piena visibilità sui nostri argomenti, non può decidere con certezza che stiamo eseguendo un'azione dannosa, poiché abbiamo passato NULL come primi <=4 argomenti.
L'EDR restituirà quindi il numero di syscall (SSN) e lo memorizzerà in RAX. Se sei interessato solo al recupero delle syscall,

TamperingSyscalls

Più Popolari

Come fare

Generazione

Limitazioni