efiguard-detect

il modo più stupido possibile per verificare se EfiGuard ha ucciso il tuo PatchGuard o no.

come funziona

efiguard lascia un backdoor SetVariable in fase di esecuzione - noi lo sollecitiamo semplicemente dalla modalità utente chiedendo di leggere 2 byte all'indirizzo base di ntoskrnl. se otteniamo MZ - il backdoor è vivo, efiguard ha fatto il suo lavoro, pg è morto.

limitazioni

funziona solo se l'utente ha scelto il metodo di bypass DSE predefinito (DSE_DISABLE_SETVARIABLE_HOOK) — che è quello predefinito. se invece è stato scelto DSE_DISABLE_AT_BOOT, l'hook viene rimosso a ExitBootServices e non c'è nulla da rilevare dalla modalità utente.

richiede amministratore + SeSystemEnvironmentPrivilege.

compilazione

cl /EHsc src/main.cpp /link ntdll.lib psapi.lib

sorgente

src/main.cpp