HyperDeceit

本仓库包含 HyperDeceit 项目的完整源代码，该项目是一个库，允许你伪装成 Hyper-V 并拦截 Windows 内核发出的 hypercall。

博客文章：https://reversing.info/posts/hyperdeceit/

免责声明

该代码尚未经过适当的代码审查，因此可能包含不一致之处，请为任何添加/修复创建一个新的 issue / pull request。

实现

以下功能已准备好，可直接挂钩：

• TLB 刷新
• 睡眠 / 关机
• 地址空间切换
• 自旋锁

尚未添加且计划稍后添加的功能（欢迎实现并创建新的 PR）：

• IPI
• ???

兼容性

• 仅支持从 Windows 10 1709 到 Windows 11 22H2 的 Windows 版本。

注意事项

• Includes/HyperDeceit.hpp 是应包含在项目中的头文件，需与输出库链接才能使用 HyperDeceit。
• Bugcheck 信息

  代码	原因
  0xBAD00001	不支持的 Windows 版本。
  0xBAD00002	提供的内核基地址为空。
  0xBAD00003	未处理的代码。
  0xBAD00004	反汇编地址失败。

示例

• Yumekage 是一个概念验证演示，用于在进程内创建隐藏内存区域。

致谢

• 感谢 Vyacheslav Patkov 提供 Hacker Disassembler Engine (HDE)。