daem0nc0re/sharpwnfsuiteC#-Dienstprogramme für die Windows-Benachrichtigungsfunktion
Dies ist das Repository für Tools der Windows Notification Facility (WNF). Derzeit wurde ein C#-Port der Tools aus wnfun hochgeladen, die von Alex Ionescu (@aionescu) und Gabrielle Viala (@pwissenlit) entwickelt wurden. Wenn ich zusätzliche Tools für die Windows Notification Facility entwickle, werden sie hier hochgeladen.
Dieses Tool gibt Informationen über WNF State Names aus oder manipuliert sie. Es ist das Äquivalent zu wnfdump.exe und WnfDump.py. Ich habe einige Aktualisierungen gegenüber dem ursprünglichen Tool vorgenommen (Exception Handling, Well-Known State Name und neues WNF_DATA_SCOPE-Member).
Um Informationen zu allen Well-Known-, Permanent- und Persistent-WNF-State-Names auf Ihrem Host abzurufen, führen Sie das Tool mit dem Flag -d (--dump) aus:```
PS C:\Dev> .\SharpWnfDump.exe -d
| WNF_WEBA_CTAP_DEVICE_STATE | S | W | N | RW | I | 0 | 12 | 0 | | WNF_WEBA_CTAP_DEVICE_CHANGE_NOTIFY | S | W | N | RW | I | 0 | 4 | 0 | | WNF_PNPA_DEVNODES_CHANGED | S | W | N | RO | U | 0 | 0 | 11 |
--snip--
Um nur den im System verwendeten Statussnamen anzuzeigen, setzen Sie das Flag `-u` (`--used`).
Dieses Flag kann auf die Optionen `-d` und `-b` angewendet werden:```
PS C:\Dev> .\SharpWnfDump.exe -d -u
| WNF State Name [WellKnown Lifetime] | S | L | P | AC | N | CurSize | MaxSize | Changes |
----------------------------------------------------------------------------------------------------------------------
| WNF_PNPA_DEVNODES_CHANGED | S | W | N | RO | U | 0 | 0 | 140 |
| WNF_AUDC_RENDER | S | W | N | RO | U | 4096 | 4096 | 7 |
| WNF_AUDC_CAPTURE | S | W | N | RO | U | 4096 | 4096 | 1 |
| WNF_AUDC_SPATIAL_STATUS | S | W | N | RO | U | 4096 | 4096 | 3 |
--snip--
Wenn Sie Informationen zum Security-Deskriptor abrufen möchten, setzen Sie das Flag -s (--sid):```
PS C:\Dev> .\SharpWnfDump.exe -d -s
| WNF_WEBA_CTAP_DEVICE_STATE | S | W | N | RW | I | 0 | 12 | 0 |
D:(A;;CCDC;;;SY)(A;;CCDC;;;BA)(A;;CCDC;;;S-1-5-80-242729624-280608522-2219052887-3187409060-2225943459)(A;;CC;;;AU)(A;;CC;;;AC)
| WNF_WEBA_CTAP_DEVICE_CHANGE_NOTIFY | S | W | N | RW | I | 0 | 4 | 0 |
D:(A;;CCDC;;;SY)(A;;CCDC;;;BA)(A;;CCDC;;;S-1-5-80-242729624-280608522-2219052887-3187409060-2225943459)(A;;CC;;;AU)(A;;CC;;;AC)
| WNF_PNPA_DEVNODES_CHANGED | S | W | N | RO | U | 0 | 0 | 11 |
D:(A;;CC;;;BU)(A;;CCDC;;;SY)
--snip--
Wenn Sie Pufferdaten abrufen möchten, setzen Sie das Flag `-v` (`--value`) oder `-r` (`--read`).
Diese Flags können mit dem `-s`-Flag verwendet werden:```
PS C:\Dev> .\SharpWnfDump.exe -d -v
| WNF State Name [WellKnown Lifetime] | S | L | P | AC | N | CurSize | MaxSize | Changes |
----------------------------------------------------------------------------------------------------------------------
| WNF_WEBA_CTAP_DEVICE_STATE | S | W | N | RW | I | 0 | 12 | 0 |
| WNF_WEBA_CTAP_DEVICE_CHANGE_NOTIFY | S | W | N | RW | I | 0 | 4 | 0 |
--snip--
| WNF_AUDC_RENDER | S | W | N | RO | U | 4096 | 4096 | 1 |
00 01 02 03 04 05 06 07 08 09 0A 0B 0C 0D 0E 0F
00000000 | 01 00 00 00 00 00 00 00-00 00 00 00 00 00 00 00 | ........ ........
00000010 | 00 00 00 00 00 00 00 00-00 00 00 00 00 00 00 00 | ........ ........
00000020 | 00 00 00 00 00 00 00 00-00 00 00 00 00 00 00 00 | ........ ........
--snip--
Um Informationen über alle temporären WNF-Zustandsnamen auf Ihrem Host abzurufen, führen Sie es mit dem Flag -b (--brut) aus:```
PS C:\Dev> .\SharpWnfDump.exe -b
| 0x41C64E6DA3AC3845 | S | T | N | RW | A | 8 | ? | 1 | | 0x41C64E6DA3AC4845 | S | T | N | RW | A | 8 | ? | 1 | | 0x41C64E6DA3AC6845 | S | T | N | RW | A | 8 | ? | 1 |
--snip--
Das `-b` (`--brut`)-Flag kann zusammen mit dem `-v` (`--value`)- oder `-r` (`--read`)-Flag verwendet werden, jedoch nicht mit dem `-s` (`--sid`)-Flag.
Die Bedeutung jeder Spalte in der Tabelle, die aus den Ergebnissen der Option `--dump` oder `--brut` erhalten wird, ist wie folgt:
| Spaltenname | Beschreibung |
| :--- | :--- |
| `WNF State Name` | WNF State Names werden hier ausgegeben |
| `S` | Gültigkeitsbereich für den WNF State Name. Die Bedeutungen der angezeigten Buchstaben sind wie folgt:<br><br>+ `S` : Systembereich<br>+ `s` : Sitzungsbereich<br>+ `U` : Benutzerbereich<br>+ `P` : Prozessbereich<br>+ `M` : Maschinenbereich<br>+ `p` : Bereich der physischen Maschine |
| `L` | Lebensdauer für den WNF State Name. Die Bedeutungen der angezeigten Buchstaben sind wie folgt:<br><br>+ `W` : Allgemein bekannt<br>+ `P` : Dauerhaft<br>+ `V` : Persistent (flüchtig)<br>+ `T` : Temporär |
| `P` | Zeigt an, ob der WNF State Name dauerhaft ist:<br><br>+ `Y` : Ja<br>+ `N` : Nein |
| `AC` | Zugriffskontrolle für den WNF State Name:<br><br>+ `RW` : Lesbar und beschreibbar<br>+ `RO` : Schreibgeschützt (nur lesbar)<br>+ `WO` : Nur beschreibbar<br>+ `NA` : Nicht lesbar und nicht beschreibbar |
| `N` | Zeigt die Existenz von Abonnenten an:<br><br>+ `A` : Abonnent vorhanden<br>+ `I` : Kein Abonnent vorhanden<br>+ `U` : Unbekannt |
| `CurSize` | Die Zahl gibt die aktuelle Puffergröße an, die für den WNF State Name verwendet wird. |
| `MaxSize` | Die Zahl gibt die maximale Puffergröße an, die für den WNF State Name verwendet werden kann. |
| `Changes` | Die Zahl gibt an, wie oft aktualisiert wurde. |