HolyGrail

أداة صيد BYOVD للعثور على برنامج التشغيل HolyGrail - برامج تشغيل Windows المناسبة لـ BYOVD.

التثبيت

git clone https://github.com/BlackSnufkin/HolyGrail
cd HolyGrail
cargo build --release

بدء سريع

HolyGrail.exe -d "C:\path\to\driver.sys"

أضف إخراج JSON، ودليل إخراج مخصص، ودليل سياسات إذا احتجت:

HolyGrail.exe -d "C:\path\to\driver.sys" -o ".\out" -p ".\Policies" --json

CLI

Usage: HolyGrail.exe [OPTIONS]

Options:
  -d, --driver <DRIVER_FILE>          Path to the driver file (.sys) to analyze
  -D, --directory <DRIVER_DIRECTORY>  Directory containing driver files to analyze
  -o, --output <OUTPUT_DIRECTORY>     Output directory for analysis results [default: .\Analysis]
  -p, --policies <POLICY_DIRECTORY>   Path to directory containing policy files [default: Policies]
  -j, --json                          Output results in JSON format instead of text
  -v, --verbose                       Enable verbose logging
  -h, --help                          Print help
  -V, --version                       Print version

ما الذي يفحصه

• استيرادات النواة شائعة الاستخدام في سلاسل BYOVD (الذاكرة/MDL، تخطيط المقاطع/VM، القراءة/الكتابة عبر العمليات، التحكم في العمليات، إدخال/إخراج الأجهزة).
• سياسات الحظر: يقارن برنامج التشغيل بسياسة حظر برامج تشغيل Windows 10/11 من Microsoft (إصدار الملف، تجزئة AuthCode، الشهادة).
• LoLDrivers: يشير إلى ما إذا كان برنامج التشغيل مدرجًا هناك.
• تلميحات الاتصالات الأساسية: واجهات الأجهزة التي توحي بوجود جسر سهل إلى وضع المستخدم.

ملفات السياسات

ضع هذه الملفات في دليل Policies (أو وجّه -p إلى المكان الذي توجد فيه):

Policies/
├── lol_drivers.json
├── Win10_MicrosoftDriverBlockPolicy.json
└── Win11_MicrosoftDriverBlockPolicy.json

ما الذي يُعتبر برنامج تشغيل “HolyGrail”

• يحتوي على الاستيرادات الصحيحة لتقنيتك (مثل القراءة/الكتابة عبر العمليات، تخطيط المقاطع، إنهاء العمليات).
• غير مدرج في LoLDrivers (اهتمام أقل من المدافعين).
• غير محظور على Windows 10 وWindows 11 (يُحمَّل دون مشكلات في السياسات).
• يمتلك مسار اتصال (IOCTLs/كائنات الأجهزة) لسهولة التحكم.

حالات الاستخدام

• الفرق الحمراء: إظهار برامج تشغيل شرعية وقابلة للتحميل توفر البدائيات التي تحتاجها.
• الباحثون: تحديد مرشحين جدد ودراسة أسطح الهجوم في العالم الحقيقي.
• المدافعون (اختياري): تدقيق أسطول أجهزتك بحثًا عن مخاطر BYOVD.