-
-
[原创]开源x86-64CPU仿真库Cpueaxh：终结基于回调与HOOK的检测对决
-
发表于: 1天前
-
大家好，最近开源了一个自己在做的项目：Cpueaxh。
与众所周知的Unicorn不同的是，该库所有指令完全参考Intel手册通过算法进行仿真，目标是尽可能还原所有指令集的原始行为。
因此该仿真库非常轻量级，支持用户态/内核态编译，而且在某些情况下比unicorn执行更快。
比较创新的是，之前的仿真器通常只支持自行管理、映射内存并仿真（Unicorn）。
这款仿真器（Cpueaxh）不仅支持上面说的类似Unicorn的内存管理模型，
还支持直接在当前进程内存空间内直接开始仿真，并且支持针对仿真Cpu修补特定地址的内存，不需要修改实际内存空间中的字节。
这意味着从此开始，我们可以完整控制我们程序中的任意执行流。
用来自key08的文章举个例子，内核中的创建进程通过PspCallProcessNotifyRoutines触发注册的进程创建回调，如果我们通过模拟执行的方式跳过这个函数的执行，就可以在完全不触发回调的情况下创建新进程。
[培训]Windows内核深度攻防：从Hook技术到Rootkit实战！
最后于 12小时前
被Saileaxh编辑
，原因：
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
