просто хук убираю до вызова лол

так rax перезапишется

код возврата

упс, забыл нахуй

а

не

не всё ок

да, и насчет того что шадоуспейс надо делать, он же поидее коллером настроен уже

r9 я бы засейвил.. чисто если в dllmain что-то настраивается, там может быть стдколл к апи и перезапишет r9

да, и насчет того что шадоуспейс надо делать, он же поидее коллером настроен уже

перед dllmain?

нет, перед оригиналфн

да

полюбому

р9 это аргумент и да надо засейвить внатуре

хотя дллмаин сама его должна сейвить

но похуй

А вот я хз точно. Дллмейн сейвит все регитры или нет

Компилер там че генерит

Надо глянуть годболт

push rcx push rdx push r8 push r9 mov rcx, ImageBase mov rdx, DLL_PROCESS_ATTACH mov r8, ImageSize sub rsp, 0x28 mov rax, DllMain call rax add rsp, 0x28 pop r9 pop r8 pop rdx pop rcx push rbx mov rax, OriginalFunc mov rbx, pFunction mov [rbx], rax pop rbx call OriginalFunc ret

Должно сработать. С PeekMessage

должно сработать со всей хуйней из винапи поидее

но хукать риална буду пикмессейдж или че нить подобное

ну мне кажется там доступ некорректный будет

из-за повторного колла

всмисле

Просто какбы, вызываемая функци допустим, принимающая 5 параметров, хочет получить доступ к пятому

согласно stdcall он лежит за shadow space

<ret addr> <shadow space> <arg>

код в функции ну там PeekMessage написан так, что учитывается вот такая структура стека

я ставлю хук допустим

у меня вот такая структура

я хочу вызвать оригинал

к этой структуре наверх я добавляю ещё один адрес возврата

в итоге. PeekMessage получит такое

<ret addr> <ret addr> <shadow> <arg>

когда она по смещению захочет взять аргумент, возьмётся из shadow мусор

по факту я мать ебал рет аддра по этому могу забить хуй и не пушить рет аддр

т.е там джампнет в оригинал сразу

тогда так да

т.е mov rax, origfn jmp rax

тогда ретернаддресс не отложица, да?

Ну да, всё равно только 1 раз хук нужен. Да, тогда ретурн адреса доп не будет никакого

все, пасиба

push rcx push rdx push r8 push r9 mov rcx, ImageBase mov rdx, DLL_PROCESS_ATTACH mov r8, ImageSize sub rsp, 0x28 mov rax, DllMain call rax add rsp, 0x28 pop r9 pop r8 pop rdx pop rcx push rbx mov rax, OriginalFunc mov rbx, pFunction mov [rbx], rax pop rbx jmp OriginalFunc

по идее щас вот топово

домой приду заюзаю, посмотрим как оно

а хде ему еще сидеть как на убогих виндоколлбеках ака SetThreadCreateNotifyRoutine

https://docs.microsoft.com/en-us/windows-hardware/drivers/ddi/content/ntddk/nf-ntddk-pssetcreatethreadnotifyroutine как я понял Не думал что античиты так заморочены

thread notify routine image load notify routine ObRegisterCallbacks с довольно широкой маской еще минифильтры для блока загрузки dll и еще как то блокают APC (lol) , наверное через что то выше + цикл гуляющий по handle table и ДКОМящий обратно хендлы сдублированные от сиспроцессов или повышеные дкомом вручную

и написать подобный драйвер - как хуем по маслу помазать

@EncodedSecurityDescriptor

все это хуйня и обходится на раз два

если бы 200iq парни из М$ сделали бы сука просто возможность перехватывать сисколлы из под р0 с включенным патчгардом, было бы большее поле что бы разыграца

а так АЧ юзают че есть и все

так вообще у меня есть желание поглазеть на кпп/пг и его отключить либо попробовать что то хукнуть в р0 через эксепшны с кпп/пг включеным

но метод с эксепшенами слишком тривиален для того что бы ПГ на него не триггерился

или я мб не прав и пг реально похуй на то что какая нить хуйня в ntoskrnl пульнет exception_access_violation reading location nullptr(lol)

у меня дохуя годных идей есть в голове по поводу этого всего

но я слишком ленивый и времени нет это реализовывать

так вообще у меня есть желание поглазеть на кпп/пг и его отключить либо попробовать что то хукнуть в р0 через эксепшны с кпп/пг включеным

его сначала найти ещё надо

э? дак есть он

Патчгуард?

где то в НикитосКернел.ехе

да

Ну да, где-то

была где то статейка описывающая его

Я так понимаю это не единый объект или структура, а куски провероке разбросанные по кернелу.

и апдейтами механизм меняется

но метод с эксепшенами слишком тривиален для того что бы ПГ на него не триггерился

а чём заключается метод

хук через инт3 чтоли типо?

нет

нужно хукаемую функцию заставить сгенерить эксепшн

и его словить хэндлером

а затем вернуть выполнение куда надо

@EncodedSecurityDescriptor

нужно хукаемую функцию заставить сгенерить эксепшн

ноо ведь её полюбому патчить над тогда?

это целосность нарушит

нет