hugsy/cfbProcMon-ähnlicher IRP-Monitor für Windows-Treiber. Erfasst und protokolliert I/O Request Packets über einen Kernel-Treiber und einen User-Land-Broker und gibt JSON zur Analyse und Skripterstellung aus.
[!CAUTION] CFB ist für Forschungs- und Debug-Zwecke gedacht und sollte niemals auf Produktionssystemen eingesetzt werden. Es kann zu BSoD kommen. Du wurdest gewarnt.
Canadian Furious Beaver ist ein ProcMon-ähnliches Werkzeug, das ausschließlich zum Erfassen von IRPs entwickelt wurde, die an einen beliebigen Windows-Treiber gesendet werden. Es besteht aus 2 Teilen:
der "Broker" kombiniert sowohl einen Benutzerland-Agenten als auch einen selbst extrahierenden Treiber (IrpMonitor.sys), der sich auf dem Zielsystem installiert. Nach der Installation des Treibers legt der Broker einen TCP-Port (standardmäßig TCP/1337) zum Abhören offen und beginnt mit der Erfassung von IRPs von gehookten Treibern. Das Kommunikationsprotokoll wurde bewusst einfach (d.h. nicht sicher) ausgelegt, sodass jedes Drittanbieter-Tool die Treiber-IRPs einfach vom selben Broker abrufen kann (über einfache JSON-Nachrichten).
die Clients können sich mit dem Broker verbinden und erhalten IRPs als JSON-Nachricht, was das Anzeigen oder Konvertieren in ein anderes Format erleichtert.
[!WARNING] Obwohl der CFB-Treiber (
IrpMonitor.sys) PatchGuard nicht verletzen sollte, ist er jedoch nur selbstsigniert und erfordert daher, dassTestSigningin der BCD aktiviert ist.
Weil ich keine Idee für den Namen dieses Tools hatte, wurde er freundlicherweise von einem meiner Skripte generiert.
processhacker für ihre phnt-Header-Dateiennlohmann für ihre json-Bibliothek