Home

Awesome

win10 PatchGuard ��̬����(btc�汾)

����Ŀ�ܹ���̬����pgContext��һ����
pgContext���ɶ���������
0 - 0xc8��һ����
0 - RtlMinimalBarrier��ƫ����һ����(��1803��,��ƫ��Ϊ0x1A2A8)
RtlMinimalBarrier - RtlMinimalBarrier+0xA00 ������
0x1A2A8+0xA00 - ....����һ�����ܵ�Context
������Կ�doc�е�dump.log
����Ŀ����0 - RtlMinimalBarrier��ƫ��
���ڹ���PatchGuard,���ƫ���е������Ѿ��㹻

ԭ��

��ͨ���۲�dump.log�Ѿ����0x109�������ļ�,���Եó�һ����Ϣ
��c8~RtlMinimalBarrier�����ݽ�β�󲿷���retΪ��β
��retΪRtlMinimalBarrier����β������

pg
��������ͨ��pgContext��ǰ2�����������ڴ���ײ���õ�pgContext���׵�ַ(ע��,��1809 rs5�汾��,rcx��ֵ�ı���) Ȼ��ͨ���ҵ�δ���ܵ�RtlMinimalBarrier��ret,���н���. ע��pgContext���ܴ��ڶ��,ʹ������ķ������ܲ���õ�ȫ����pgContext

���µķ���:
pgContext���ܲ�����ret��β
�ھ������ʵ���ó����£�
1.pgContext������ȫ���ܵ�(1909֮ǰ���ʽϵ� 1909������ʳ���)
2.pgContext���ܻ�����NonPagedPoolSession���ڴ�(����ʱһ����Context�Ѿ����� �Ʋ��ʱpg���ڽ��н���)
3.pgContext������������������
��βΪc3
��βΪRtlMinimalBarrier����󼸸��ֽ�(Ŀǰ����1909ʵ�鷢�ֹ�)
�������(RtlMinimalBarrier��������������)
4.1909������ײ������pgContext���Ѿ���ȫ���ܺ��,�Ʋ�...

��RtlMinimalBarrier������ŵĴ������ôһ���ṹ

xxxxxxxxxxxxxxxxx �����������������һ��
ffffa38a2cf1dc45 0000000000000000
ffffa38a2cf1dc4d fffff80620cbe8c7 nt!ExQueueWorkItem+0x7
ffffa38a2cf1dc55 56d15c8b00000010
ffffa38a2cf1dc5d 0000000000000001
ffffa38a2cf1dc65 0000000000000000
ffffa38a2cf1dc6d 0000000000000000
ffffa38a2cf1dc75 0000000000000000
ffffa38a2cf1dc7d fffff80620cbe8d7 nt!ExQueueWorkItem+0x17
ffffa38a2cf1dc85 2ecc050e0000008a

c3�����0���������ڶ���?
ʣ�µĽṹ��
_struct xxxxx
{ PVOID routine;
ULONG checksum?;
ULONG routineCodeSize;
PVOID unknow;(һֱΪ1)
PVOID Fileds[3];
}

���ڵ���PatchGuard

˫�����ԣ���������ģʽ��,����,��Ҫ��windbg,�ȴ���������ȦȦ����,����תһ��,����תһ���ͻȻ��ס��ת��,��1-2�뿪��windbg����.

����Ŀ�ݲ�����PatchGuard

��ʵ,���˽���֮�����Ѿ�����������.
ֻ��Ŀǰ���IJ����ڹ���,����.

Ŀ¼˵��

doc:һЩ��������
helper:���ڸ���dump��У��pgContext
PatchGuard:���߼�

��л

tandasat : some-tips-to-analyze-patchguard
tandasat : findpg
tandasat : PgResarch
mengwuji : windows10 patchguard�ƹ�����
mengwuji : �ƹ�windows10 patchguardԭ����ʵ��
9176324 : Shark
DarthTon : Blackbone
Mr Guo