VT EPT原理解析和进阶——绕过pg检测，无视目前任何内核检测工具的检测如PCHander检测不到HOOK

[原创]驱动级VT技术EPT实现无痕HOOK保护指定进程----VT EPT原理解析和进阶 

https://bbs.kanxue.com/thread-269303.htm

---

驱动级VT虚拟化技术EPT实现无痕HOOK保护指定进程。

 

懂VT的内核安全逆向人员，可以秒杀不懂VT的人员，VT学习交流群244684999

 

VT EPT原理解析和进阶.VT开启EPT后。绕过pg检测，无视目前任何内核检测工具的检测如PCHander检测不到HOOK.
本次案例实现欺骗系统达到无痕HOOK SSDT中的NtOpenprocess保护calc程序的内存，让OD,CE工具无法附加搜索。

1. EPT的概念
   　　EPT(Extend Page Table)扩展页表机制，可以让Guest机使用一份自己构建的页表
   　　GPA(Guest-Physical Address)、HPA(Host-Physical Address)
   　　当Guest访问内存时，其最终会生成一个GPA，其EPT的页表定义在Host端，处理器在收到guest传递过来的之后，通过EPT页表转换为HPA，从而访问物理内存。
   　　 
   2.构建EPT并开启的代码实现
   
   3.EPT下HOOK SSDT NTOpenProcess的代码实现
   
   4.WIN7X64系统下的EPT HOOK SSDT演示
   
   
   4.核心源码分享，看反应公开源码，见附件