【2023】Fun With Another PatchGuard-Compliant Hook Posts

tdsskiller

(19) Aidan Khoury on X: "Yet another very powerful patchguard and vbs compliant method for hooking system calls globallyhttps://t.co/F8ImYDU1ki" / X (twitter.com)

Fun with another PG-compliant Hook - Reverse Engineering

@wowocock

wowocock

应该是infinityhook挂钩的一个新的点。关键都在EtwpLogKernelEvent里，这个是ETW SYSCALL的必经之路，只要里面可用的位于 .data 指针函数，不在PG的保护范围内，可以被替换成自己的，从而实现所谓的infinityhook。这次作者用的是 EtwpReserveWithPmcCounters里的HalPrivateDispatch- > HalpCollectPmcCounters，把这个替换掉即可。


KernelBase.dll!SleepEx

|- ntdll.dll!NtDelayExecution

|    |- ntoskrnl.exe!KiSystemServiceExitPico

|    |    |- ntoskrnl.exe!PerfInfoLogSysCallEntry

|    |    |    |- ntoskrnl.exe!EtwTraceKernelEvent

|    |    |    |    |- ntoskrnl.exe!EtwpLogKernelEvent

|    |    |    |    |    |- ntoskrnl.exe!EtwpReservePmcCounters

|    |    |    |    |    |    |- ntoskrnl.exe!HalpCollectPmcCounters   ---> | These only occur when the ETW logger is configured appropriately.