操作系统分为内核和应用层，从R0-R3，R0是内核，R3是用户层。
windows中日常调用的api都是R3抽象出来的接口，虽然win32 api他也是R3接口，但是由于windows的设计思想就是高度封装，所以实际上的R3 api是ntdll.dll中的函数，过程如下图。
我们调用的win32 api都是kernel.dll/user32.dll中的函数，最终都要经过ntdll.dl

我们逆向一个函数用作学习，选定CreateThread，ntdll中的是NtCreateThread

可以看到首先给eax赋值（这里是系统调用号SSN system-call-number），然后再执行syscall

观察相邻函数可以发现SSN是递增的

EDR的工作原理是，对WINDOWS API进行hook。
一般都是inline hook，即把函数的开头地址值改成jmp xxxxxxx(hook函数地址)。
既然知道了syscall的调用模板，自己构造syscall（获取SSN，syscall），即可绕过EDR对api的hook

以下开始学习不同项目对应的手法

项目地址：https://github.com/am0nsec/HellsGate/
比较古老的项目，效果不好，但是有学习价值
直接跟进main.c，调用RtlGetThreadEnvironmentBlock,作用是获取TEB（fs:0x30/0x60），然后获取PEB

获取ntdll.dll，这里是测试出来的，win10的peb.LoaderData.InMemoryOrderModuleList.Flink->Flink一般是kernel.dll，0x10偏移是ntdll.dll

获取导出表

代码自己设置了一个结构体_VX_TABLE，用于存放取出的nt函数的地址

然后用api hash，装载这些函数

获取函数地址的函数，其中使用djb2算法进行api hash计算。
会检测函数地址位置的字节序列是否正常，比如如果在地址处检测到了0x0f 0x05 syscall，0xc3 ret，正常函数不会是这样的，说明可能被hook
正常的序列：

或者

还会获取系统调用号

最后main调用了payload函数，开始执行shellcode，也是分配内存+写权限+内存限制+线程创建执行shellcode+NtWaitForSingleObject

其中的核心手搓syscall，由外部asm文件提供

总结别人的总结：

https://github.com/trickster0/TartarusGate/
其实之前还有一个光环之门，但是这个TartarusGate完美改进了，就直接用这个说吧
这是对地狱之门的改进，因为地狱之门在不干净的ntdll中无法动态获取SSN，所以光环之门进行了改进。

当我们所需要的 Nt 函数被 hook 时，它相邻的 Nt 函数可能没有被 hook，因为 EDR 不可能 hook 所有的 Nt 函数，总有一些不敏感的 Nt 函数没有被 hook，这样我们从我们需要的 Nt 函数出发，向上或者向下寻找，找到没有被 hook 的 Nt 函数，然后它的 SSN 加上或减去步数就得到了我们需要的 SSN。

看下图，ZwMapViewOfSection 显然被 hook 了，因为它开头是jmp <offset>指令，而不是 mov r10, rcx，但是相邻的 ZwSetInformationFile 和 NtAccessCheckAndAuditAlarm 却是干净的，他们的系统调用号分别是0x27和0x29。因此，确定 ZwMapViewOfSection 编号非常简单 ，只需查看邻居编号并相应地进行调整即可。如果邻居也被 hook 了，那么检查邻居的邻居，以此类推

这里我们查看他重点实现查看邻居的代码
检测到0xe9 jmp时（第一第二条，做了两次判断，因为不只是第一条命令会被hook），开始向上向下查看邻居.
预先设置了down和up的值为正负32，这是作者手动计算的，然后根据这个区间进行上下邻居的查看。
可以手动在ntdll里面数一下，正好差0x20，即32.由于各个API本质不同就是传入SSN不同，所以这里可以固定区间检查上下邻居

手搓syscall比地狱之门多加了一点nop做混淆

打印所有zw开头的（内核系统调用接口）函数，也可以改成nt（用户态系统调用接口）

以上代码把所有提取出来的内核函数存放到NT_TABLE中，然后输出，这里我稍微魔改一下改成根据传入的api hash参数，寻找对应的api hash的调用号

项目地址：https://github.com/jthuraisamy/SysWhispers
这是直接系统调用的框架。

系统调用号SSN在不同版本的系统下是不一样的，有技术博客已经帮我们整理好了

这个项目相当于一个脚手架，会帮我们生成asm文件和头文件，需要在项目中包含，才能syscall
安装：

使用：

上手

打开项目，导入生成的asm和头文件
编写demo
未syscall时需要使用kernel32.dll中的API

syscall后可以使用nt函数进行替代

头文件存放了nt函数的签名结构

asm文件中，对应函数会先查询版本，然后再跳转到对应的代码块进行处理

以上都是模板文件，最后核心代码还是直接调用syscall，这样的特征比较明显，所以会有接下来的第二版本和第三版本项目

项目地址：https://github.com/jthuraisamy/SysWhispers2
使用方法和第一版一样，只不过内部的实现机制发生了改变
用demo查看一下内部机制

其中出现的nasm，是适配gcc的文件
std方法是最基础的syscall，但是rnd是适配了Random Syscall Jumps技术，项目描述中有写
使用随机系统调用跳转（Random Syscall Jumps）可以避免“系统调用的标记”。汇编存根会调用一个新函数SW__GetRandomSyscallAddress，该函数会在ntdll.dll中搜索并选择一个干净的系统调用指令来使用。通过这种方式，也可以避免触发用户态的系统调用指令。
要使用随机系统调用跳转，你需要在编译程序时定义RANDSYSCALL，并使用SysWhispers2输出的rnd版本。以下示例展示了如何使用GNU汇编器存根。
x86 Example EXE - Using Random Syscall Jumps

x64 Example EXE - Using Random Syscall Jumps

编写demo

这里我们使用random版本的代码
syscall.h的内容和第一版本没差别
具体的差别在asm。首先是导出的nt函数，将硬编码的hash值传给currentHash，然后调用WhisperMain

WhisperMain中调用了SW2_GetSyscallNumber和SW2_GetRandomSyscallAddress
查询ntdll中干净的随机的syscall命令，保存其地址，然后构造系统调用号等参数，用随机的sysacll执行

接下来查看具体的获取随机SSN和干净syscall的代码，是C语言，存放在syscall.c中

跟进SW2_PopulateSyscallList
先看数据结构，SW2_SYSCALL_ENTRY存放导出函数的hash和地址，SW2_SYSCALL_LIST存放entry队列，还有计数器

查看代码，首先获取peb，然后从peb中检索ntdll，由于ntdll不一定在第二位，所以遍历所有模块寻找ntdll

这里的处理其实挺愚蠢的，不如这段代码遍历一遍，其实还可以改成参数为hash

接着遍历导出表，将所有zw开头的内核系统调用接口的hash和地址存入队列

接着跟进SW2_GetRandomSyscallAddress

这里设置了随机数，并且设定了syscall在汇编中的偏移0x12，构建出syscall在模块内偏移，（ntdllbase+random(syscalladdress)+0x12），最终返回构造好的syscall指令地址，在asm中构造syscall栈进行调用
根据下图可以看出偏移为0x12

这里的效果就是，使用间接系统调用，程序会进入ntdll模块中执行syscall，而不是自己直接手撸syscall，在操作系统看来，手撸syscall会让用户态程序直接进入内核态，不经过ntdll.dll，是不合理的。
用ntdll.dll的syscall指令就解决了这个问题，合理多了。

SysWhispers还有进化版本，项目地址：https://github.com/klezVirus/SysWhispers3
进化的点在哪里：
The usage is pretty similar to SysWhispers2, with the following exceptions:

其中涉及了主要两个技术：

运行项目，生成模板查看一下

这里使用了jumper_randomized模块，jumper和egg_hunter是不能同时使用的，因为都是对syscall指令做的操作，如果jumper就不需要syscall机器码混淆。
当只使用egg_hunter生成时会有提示，每次随机生成的egg垃圾字符串是不同的，需要手动转换成syscall指令（混淆解码）

先看egg_hunter
syscall.h中存放函数签名
查看asm文件，参数传入ecx函数hash，然后调用SW3_GetSyscallNumber

这里需要自己在主函数中对egg和replace字节进行实现。
就算实现了，这里也是直接系统调用，不靠谱，所以我们来看jumper

可以看到和第二代版本的差别就是，syscall改成了jmp r11，r11是SW3_GetRandomSyscallAddress获取的syscall address。这种方式可以绕过对静态syscall指令的扫描。

项目地址：https://github.com/Dec0ne/HWSyscalls
上文都是软件中自定义堆栈流程，都是找到ntdll，然后从里面拿系统调用接口做syscall，但是hwsyscalls项目更彻底，通过kernel32 gadget，跳到ntdll.dll中做间接syscall。


用法：InitHWSyscalls启动系统，进行初始化，这个函数里面会把VEH异常处理注册好，并且将ntdll设置为断点，调用PrepareSyscall(要调用的NT函数)即可触发VEH，同时间接调用nt函数对应的syscall。
DeinitHWSyscalls进行收尾处理。

初始化函数，会获取当前线程，从kernel32.dll寻找ret gadget，"ADD RSP,68;RET"，然后使用AddVectoredExceptionHandler注册异常处理程序

FindRetGadget会在kernel32.dll和kernelbase.dll寻找"ADD RSP,68;RET"，如果找不到就无需继续了。

如果存在gadget，则注册异常处理函数

核心函数HWSyscallExceptionHandler，相关注释在代码中

寻找syscall指令和系统调用号都借鉴了天堂之门，遍历检索邻居.这里使用了PBYTE，是四个字节，0x20偏移，向后遍历32个函数寻找syscall;ret gadget

注册完VEH，一旦设置了硬件断点（通过 SetThreadContext 设置 CONTEXT 结构中的 Dr0），本进程任何尝试访问该地址的操作都会触发异常，这时 HWSyscallExceptionHandler 就会被调用。
这就轮到初始化函数InitHWSyscalls中的SetMainBreakpoint出场了

断点通过SetThreadContext下在了ctx.Dr0上，是PrepareSyscall函数，这个函数的作用是返回一个函数地址，入参是需要调用的nt函数。

到此为止，代码分析完毕。
HWSyscalls通过注册VEH异常处理程序，通过手动给触发函数下硬件断点的方式，通过参数将需要调用的内核函数名送入VEH处理程序，在其中操作寄存器，通过寻找kernel32.dll 的"ADD XX;RET"gadget，配合VEH.RSP操作，伪造kernel32.dll栈，接着将间接调用的栈帧布置在伪造的kernel32.dll栈后面，实现了更彻底更完美的间接系统调用。
该项目吸收了旧技术的精髓，和SysWhispers系列项目一样，都是syscall方面的精品项目。

[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)