Hyperplatform VT HOOK

最新推荐文章于 2024-08-15 09:32:37 发布

转载最新推荐文章于 2024-08-15 09:32:37 发布 · 1.4k 阅读

6 ·

CC 4.0 BY-SA版权

原文链接：http://blog.51cto.com/haidragon/2306936

源码：
https://github.com/tandasat/DdiMon
https://github.com/tandasat/HyperPlatform

转载于:https://blog.51cto.com/haidragon/2306936

确定要放弃本次机会？

福利倒计时

: :

立减 ¥

普通VIP年卡可用

立即使用

DragonWar%

关注关注

2
点赞
踩
6

收藏

觉得还不错? 一键收藏
0
评论
分享

复制链接

分享到 QQ

分享到新浪微博

扫一扫
举报

举报

[VT虚拟化驱动]利用EPT实现无痕HOOK

吾无法无天的博客

12-06

1万+

本章利用讲EPT无痕HOOK

HyperPlatform笔记

最新发布

repetone的博客

10-05

419

首先明确下一个事情，就是Hyperplatform中的虚拟化处理的是整个内核空间的，架设的VM也就有一台，而这台VM的内核空间也就是主机的内核空间，因此EPT的构造就需要达到这样一个目的：GUEST使用的GPA在被EPT转换后依然访问的是原始地址，也就是GPA==HPA。虚拟化是CPU的硬件支持，因此多核情况下只能对每个核心进行虚拟化处理。虚拟化的强大之处在于他可以接管Guest内部的几乎所有的内部机制，那么这样的话就存在效率的问题，同样利用VT绕过PG检测时不断的来回替换物理页也是很消耗时间的一个方法；

参与评论您还未登录，请先登录后发表或查看评论

基于VT技术的HOOK流程图

吾无法无天的博客

03-27

5591

基于VT技术,无视PatchGuard MSR HOOK: EPT HOOK: Win10 1809测试:

HyperPlatform-master ok.rar

08-12

一款适用于win7到win10的VT框架，vs2015+wdk10编译环境，可以直接编译适用。里面接口都写好了，自己添加处理功能就行

VT Msr Hook Syscall

小烟的博客

02-26

1135

VT Hook Syscall

r3epthook-master.zip

11-29

在IT领域，尤其是在系统安全和恶意软件分析中，"VT ept进行hook，可以隐藏hook"这个主题涉及到一些核心技术概念，主要包括VT（Virtualization Technology，虚拟化技术）和EPT（Extended Page Tables，扩展页表），...

cpuid_hook

01-03

`cpuid_hook`是一个涉及到计算机硬件交互和操作系统内核编程的技术主题，主要通过虚拟化技术中的VMX（Virtual Machine Extensions）来实现对CPUID指令的钩子（hook）。CPUID是一个在x86架构下的处理器指令，用于获取...

VT虚拟化技术,VT驱动调试器,自建调试体系,反反调试技术,内核驱动,VT过保护,VT源代码

04-27

ept hook. 无痕int3. 自建调试体系隐藏debugport. 支持pdb符号自动下载，省去寻找特征码步骤,轻松兼容不同系统版本. 5.zip文件是编译好的成品支持平台 win10 x64 intel architecture cpu. 环境：vs2019 driver sdk...

易语言HOOK服务器

07-20

易语言HOOK服务器是一种基于易语言编程的特殊服务器应用，它主要利用了HOOK技术来实现对系统或应用程序的监控和控制。HOOK在编程中通常是指一种机制，允许程序在特定事件发生时进行干预，例如，当特定函数被调用时，...

hyperplatform笔记，关于xeon至强cpu遇见watchdog问题卡死[解决]

07-15

836

x64.asm guest发生异常时，陷入AsmVmmEntryPoint 之后保存现场，然后进入VmmVmExitHandler 然后VmmVmExitHandler根据异常的类型进行分发到不同的handle，如： case VmxExitReason::kMsrRead: ...

VivienneVMM是通过英特尔VT-x虚拟机管理程序实现的隐形调试框架。-C/C++开发

05-26

VivienneVMM VivienneVMM是通过英特尔VT-x虚拟机管理程序实现的隐形调试框架。该驱动程序公开了一个硬件断点控制接口，该接口允许用户模式客户端设置和清除断点。这些VivienneVMM VivienneVMM是通过Intel VT-x虚拟机管理程序实现的隐形调试框架。该驱动程序公开了一个硬件断点控制接口，该接口允许用户模式客户端设置和清除断点。来宾看不到这些断点。该项目是tandasat对HyperPlatform框架的扩展。项目VivienneVMM包含Vivienne虚拟机监视器的核心驱动程序项目。 VivienneCL一个命令行VivienneVMM客户端，它使

修改MSR对syscall指令HOOK

12-12

修改MSR（lstar）对syscall指令HOOK. 本身在win7 x64 sp1使用VS2013开发。

VT笔记(2)突破patchguard保护完成X64Hook

kernweak的博客

06-24

9740

win10，2018新年版后好像不支持了？ MSR hook MSR (Model Specific Registers)是CPU 的一组64 位寄存器，可以分别通过RDMSR 和WRMSR 两条指令进行读和写的操作，前提要在ECX 中写入MSR 的地址(MSR地址就像一个宏STAR，LSTAR，CSTAR，SFMASK)。对于RDMSR 指令，将会返回相应的MSR 中64bit 信息到(ED...

gitblog_00273的博客

08-15

1618

VT笔记(1)

kernweak的博客

06-24

3408

概念硬件虚拟化技术，隐藏计算机资源物理性的一面，比如能把单个或多个物理资源，转化为一个或多个逻辑资源。 intel vt-x/或者amdv8（SVM） VT是一个驱动（.sys),由操作系统加载后，运行在每个cpu上，推翻原来的操作系统，然后os和app-r0和r3变成GUEST，建立特权层（host，vmm，hypervisor，root，-1），然后监控GUEST执行。这样就可以简...

C++虚表的hook

godzhe的博客

06-05

2268

c++类实例中.第一个成员是一个指向virtual Routine的函数地址表,类似于ssdt表.类中调用虚函数的时候，会在虚函数表中查找相应的虚函数代码执行地址. 下面一段代码调用虚函数的反汇编代码 00291B54 |. 6A 0F push 0xF 00291B56 |. 6A 0A push 0xA 00291B58 |. 8B4

利用Intel VT实现进程保护

andy7002的博客

05-02

9500

Intel VT即Intel公司的Virtualization Technology虚拟化技术, 在硬件级别上完成计算机的虚拟化。为实现硬件虚拟化 ,VT增加了12条新的 VMX指令。VT可以让一个CPU工作起来像多个CPU在并行运行，从而使得在一部电脑内同时运行多个操作系统成为可能。在安全领域，利用VT技术，64位系统的防护可以做到跟32位同级别的强度。一、vt调试方法 1. 修改vmx文

《TinySvm》基于NPT的无痕hook

weixin_47707022的博客

11-30

756

同时ARK工具下无法观测，实现无痕hook，原因是ARK所读的嵌套页表（NPT）是原始无改的，但在权限上被设为不可执行，所执行的页表含上述hook代码，权限为可执行不可读写，原理与vt hook相同，差异主要存在于对页表的检索。代码连接https://huanfuhezi.lanzouq.com/b276yhg。hook Ntopenprocess函数做进程保护。当调试器附加时，进程句柄不再打开。启动驱动，逐个虚拟化cpu，

[Rootkit] 无痕 hook - 硬件断点

LYSM

06-10

4005

hook方式有多种，这里做了一个系统性的总结对比，如下： https://www.cnblogs.com/theseventhson/p/14324562.html 之前这里做了接受消息的hook，用的就是最初级的hook方式: jmp到我们自己的处理逻辑。上面也分析了，这种方式缺点非常明显；最牛逼的神级hook：VT读写分离前面已经介绍过了，今天继续介绍高级的hook方式：硬件断点；现代软件开发，尤其是大型软件开发，绝对不可能一步到位，开发期间肯定存在各种bug。为了方便找到这些bug，软件上有专门

Vt hook ssdt

12-31

Vt hook ssdt是一种技术，用于在操作系统内核中拦截和修改系统服务调用。通过Vt（Virtualization Technology）技术，可以在操作系统运行时对系统服务进行动态修改，从而实现对系统行为的控制和修改。以下是一个Vt ...