重写ring3 API函数-先知社区

一、用户态

Zw*

或

Nt*

类型的API

1.1 系统调用介绍

本节涉及到系统调用的相关知识，在这里我只是浅浅地介绍一下什么是系统调用。

系统调用（System Call）是操作系统提供给应用程序与内核交互的核心接口，允许用户程序请求内核执行特权操作，它是用户态和内核态之间的桥梁。在免杀领域中，只要你是通过syscall指令进入内核态执行特权操作都可以称为系统调用。

在Windows操作系统中，假设我们使用了

ZwAllocateVirtualMemory

这个

Zw*

类型的API，它就会从用户态转变为内核态，在内核态由操作系统真正的执行特权操作。

ZwAllocateVirtualMemory是一个处于ring3到ring0的API，其本质而言还是ring3的API，但自身不执行内核特权操作。这类API有一个特点就是通过syscall这个指令进入到内核态，然后操作系统根据SSN（

系统调用号

）从SSDT（

系统服务描述表

），找到ntoskrnl.exe中对应的

Nt*

函数地址并执行特权操作。

这些函数的 ntdll（用户模式）版本只是执行系统调用来调用其内核模式对应函数，这就是为什么它们经常被称为

系统调用存根（syscall stub）

。

1.2 EDR和用户模式钩子

以前，安全产品通过挂钩 SSDT 从内核内部监控用户模式调用。自 2005 年微软推出内核补丁保护（又称 PatchGuard）以来，许多对内核的修改现在都被阻止了，因此许多 EDR 钩子转向挂钩 ntdll。

EDR 使用

jmp

指令覆盖

ntdll.dll

中目标函数（如

NtOpenProcess

）的前 5 字节，将执行流重定向到自身 DLL（每个进程都会加载）。在 EDR 的代码中检查参数（如目标进程 PID、内存地址合法性）及返回地址（是否来自可疑模块）。执行原始指令（被覆盖的 5 字节），跳转回

ntdll.dll

继续执行后续代码。

比如说未安装bitdefender前

安装bitdefender后

本节的

重写ring3 API函数

是利用直接系统调用绕过AV/EDR的在ntdll上的用户态钩子，达到免杀效果。说实话，国内主流的杀毒软件是没有用户态Hook，比如说360、火绒、Defender，甚至是国外的卡巴斯基（非EDR）在几年前就取消了用户态Hook，所以说对于这些AV而言用此项防御规避技术确实有点小题大作，只有面对EDR和AV中的王者BitDefender，此项技术才能大展身手。

直接系统调用也并非是万能的手段，如果恶意软件使用了这项技术，那么从 EDR的角度来看，这将成为一个明确的妥协指标（IOC），EDR可以通过Windows 事件跟踪（ETW）分析应用程序中的线程调用堆栈的合理性来判断程序是否为恶意软件。

偷来的图