MythosX Anvil 是一套多用途分析工具，通过 DLL 向你开放全部底层能力。调用前请先参加我们的可信安全验证计划（Cyber），通过后找团队拿到接入 DLL、API 文档和示例代码。DLL 头文件、API 文档、调用示例、PCILeech 兼容层（LEECHCORE）全部公开，底层通信协议字节级实现不开源。
能力清单
内存读写
- 虚拟地址（VA）和物理地址（PA）双读写
- V-BATCH 分散批读 / 写（多页一次）
- BULK_READ 连续段大块单读
- 透明的 CR3 页表 walk + guard + 禁区检查
- CPU 视角读写（语义等同 guest CPU 自己访问，区别于原版 PCILeech 的裸 DMA 视角）
- 保护区外全部内存开放
进程与模块解析
- PID、镜像名、模块 base、PE 与导出解析
- 由调用者提供 layout、链表头、选择条件和有界 scratch
写监视
- 页粒度写陷阱，范围过滤，重武装
- 写触发前同步捕获：GPR、控制上下文、必要向量、入口 RSP / 栈、有界间接内存
- 多核感知，洪水上限
- decode-by-reexecution：翻叶 RW、单步一条、翻回 RO、字节 delta 对账
调试
- 影子断点（双视图 NPT，读视图直通 / 执行视图影子）
- 单步 + 异常拦截（TF+#DB 或 NPT 粒度陷阱，EFLAGS.TF 影子化）
- 跨页步进
HOOK
- 陷阱钩（冷点，逐指令退出）
- 岛钩（视图切换，每方向一次 NPF）
- 双视图 NPT（内容视图与执行视图分离）
- INT3 保底路径
- CAPS / INSTALL / REMOVE / QUERY 完整生命周期
- 装、查、撤、回滚，失败不遗留半绑定
代码岛与数据岛
- 代码岛：自定义内容页与执行落点
- 数据岛：窗内 CPU 对真实数据读写，窗外对外隐藏
- 两代整组切换、迁移、回滚
- blob 自定义投递（有界搬运 + SHA-256 + manifest + 版本检查、分帧完整性、整页原子、三态闭集、中断可恢复）
事件环
- 每 CPU SPSC 环，消费者合并
- 时序戳（同核单调、跨核一致）、序号、丢失计数、代次信息完整
沙箱执行域
- CPL3 隔离的独立执行域
- 独立地址空间、W^X
- API 闭集：走查、读写、共享环、定时器、事件、受控时间
- 事件驱动 Worker 执行（P3 / P4 事件 → 环 → Worker 唤醒）
- 异常隔离、重启排空
嵌套虚拟化兼容
- Guest Windows 内运行 Hyper-V / HVCI / VBS，语义真实
- SVM 嵌套完整支持：VMCB、二级页表、MSR、异常、中断 / APIC、XSTATE、TLB、多核状态全保真
- 多核跨核保真
- 七维保真：CPUID、MSR、VMRUN、时序、异常、内存 / TLB / 缓存、中断
- 反嵌套观察接口
身份与呈现
- 读取或热切换 Guest 看到的：SMBIOS（主板 / 系统 / BIOS / 机箱）、磁盘（NVMe SN / MN / FR + 卷 ID）、网卡 MAC、OS 身份（MachineGuid、SQM、ProductID、ComputerName）、显示器 EDID、TPM 呈现、Secure Boot 呈现、IOMMU 呈现
- raw（真实值）/ render（呈现值）分开管理
藏卡
- DMA 卡和 X520 对 Guest OS 不可见
- PCIe 枚举摘除 + 下游交换机端口不见链路握手 + IOMMU 表看不到
双通道传输
- DMA mailbox（固定物理内存白板）
- X520（局域网 D5MF 对讲机）
- 两通道共用同一套公共 API，代码不分支，换通道零改造
开发包
- 正式 C ABI + 双 DLL（DMA 通道、X520 通道）
- C# 薄层
- Guest 执行 / Worker 沙箱执行双 ABI
- 进程 / 模块缓存
- 环内具名失效通知
- 无头 CLI 入口（
AnvilConsole.exe --op profile.list / read / save / rename / copy / delete / setCurrent、--cli-selftest）
- Mock、固定输入、E2E 示例
接入
接入方式
完成 Cyber 验证后，找 MythosX 团队拿到 DLL、接入凭证、API 文档和示例代码。把 DLL 放到你的工具目录即可调用。