m417z/x64dbg-xfg-markerUm plugin do x64dbg que marca assinaturas de chamada XFG como dados
Microsoft eXtended Flow Guard (XFG) é uma técnica de integridade de fluxo de controle (CFI) que estende o CFG com assinaturas de chamada de função. Cada assinatura tem 8 bytes de tamanho e está localizada logo antes da função de destino. Como a assinatura está localizada na seção de código, o x64dbg fica confuso e a exibe como instruções aleatórias. Isso também faz com que, com frequência, o x64dbg não consiga desmontar corretamente o início da função.
O plugin percorre todas as assinaturas de chamada de função XFG e as marca como inteiros de 8 bytes, criando uma separação clara entre a assinatura e a função.
O plugin também tem opções para adicionar comentários com as possíveis funções de destino da chamada indireta e para adicionar xrefs entre a chamada indireta e cada função de destino, facilitando a navegação.
Para mais detalhes, consulte a postagem relevante no blog.
