NullGate 项目亮点解析

项目的基础介绍

NullGate 是一个开源项目，旨在提供一种舒适且现代的方式使用 NTAPI 函数，通过间接系统调用结合 FreshyCalls 方法，以及一种尚未被广泛提及的绕过 Windows Defender 内存扫描的技术。该项目还实现了一个经典的进程注入 PoC。

项目代码目录及介绍

项目的代码目录结构清晰，主要包括以下部分：

• assets/：包含项目的一些资源文件。
• include/：包含项目所需的头文件。
• src/：包含项目的源代码文件。
• .gitignore：指定 Git 忽略的文件和目录。
• CMakeLists.txt：项目的 CMake 配置文件。
• LICENSE：项目的许可文件。
• README.md：项目的说明文件。

项目亮点功能拆解

1. 间接系统调用：NullGate 通过间接系统调用，提供了一种更为安全和高效的方式来访问 NTAPI 函数。
2. 动态 syscall 号码获取：项目使用一种独特的方法，在编译时通过 FNV-1 哈希算法将函数名转换为哈希值，以动态获取 syscall 号码。
3. 内存扫描绕过：项目实现了一种技术，通过在内存中填入垃圾数据，然后在创建线程后写入真正的 shellcode，从而绕过 Windows Defender 的内存扫描。
4. 进程注入：NullGate 还包含了一个进程注入的 PoC，可以将 shellcode 注入到指定进程中。

项目主要技术亮点拆解

1. 类型安全：NullGate 提供了类型安全的接口，用户只需要提供要调用的 NT 函数的定义即可。
2. 编译时函数名混淆：使用 fnv1Const 方法，在编译时将函数名转换为哈希值，增强了代码的安全性。
3. 加密和解密功能：项目内置了 XOR 加密/解密和 Base64 编码/解码功能，方便对 payload 或消息进行加密处理。
4. 跨平台支持：NullGate 支持跨平台编译，可以在不同平台上使用。

与同类项目对比的亮点

与同类项目相比，NullGate 的亮点在于：

• 安全性：通过函数名混淆和动态 syscall 号码获取，提高了代码的安全性。
• 灵活性：支持多种加密和解密方法，以及跨平台编译，使得项目具有更高的灵活性。
• 创新性：项目实现了一种新的内存扫描绕过技术，这在其他类似项目中并不常见。

NullGate 项目的创新性和实用性，使其在安全领域具有一定的应用价值，值得关注和学习。