KernelFlirt

Débogueur au niveau du noyau Windows avec une interface de style OllyDbg/IDA Pro. Conçu pour la recherche en sécurité, l'ingénierie inverse et l'analyse de malwares dans des environnements de machines virtuelles (VMware).

Architecture

  Host machine                           VM (Windows 10, testsigning)
┌──────────────────┐    TCP:31337    ┌──────────────────┐     IOCTL      ┌──────────────────┐
│  KernelFlirt UI  │◄───────────────►│   KfRelay.exe    │◄──────────────►│ KernelFlirt.sys  │
│  (WPF / .NET 9)  │  CMD+DBG ch.    │   (TCP proxy)    │  DeviceIoCtl   │ (WDM Driver)     │
└──────────────────┘                 └──────────────────┘                └──────────────────┘
                                     ┌──────────────────┐  SCM API
                                     │  KfLoader.exe    │──────────────────────┘
                                     │  (C / Console)   │  load / unload / status
                                     └──────────────────┘

Composant	Langage	Description
KernelFlirt.UI	C# / WPF	Interface du débogueur (s'exécute sur l'hôte)
KernelFlirt.sys	C / WDM	Pilote noyau — mémoire, points d'arrêt, hook inline KdTrap
KfRelay.exe	C	Relais TCP sur la VM, relaie les IOCTL sur le réseau
KfLoader.exe	C	CLI pour charger/décharger le pilote via SCM
KfConsole.exe	C# / .NET 9	Débogueur console — REPL de style WinDbg/x64dbg sur le même pilote
KernelFlirt.SDK	C# / .NET 9	SDK de plugins — API complète du débogueur pour extensions

Démarrage rapide

:: VM — load driver and start relay
KfLoader.exe load
KfRelay.exe

:: Host — launch the UI and connect
KernelFlirt.exe → Connect → VM IP

1. File → Open — parcourir le système de fichiers de la VM, sélectionner un EXE/SYS
2. Processus créé en suspension, point d'arrêt sur le point d'entrée défini automatiquement
3. F9 — exécuter jusqu'au point d'entrée, les symboles et modules se chargent
4. Définir des points d'arrêt, exécuter le code pas à pas, inspecter la mémoire et les registres

Débogage de pilote noyau : ouvrir l'onglet Kernel Modules, trouver votre pilote, définir des points d'arrêt sur n'importe quelle fonction — mode utilisateur et mode noyau.

Front-End Console (KfConsole)

Pas besoin de l'interface WPF ? KfConsole.exe (dans bin\Console\) est un REPL de style WinDbg/x64dbg sur le même pilote et relais.

kf> connect 10.100.102.6:31337
✓ connected (10.100.102.6:31337), driver v0x10000

kf*> open C:\Temp\target.exe
✓ created PID=8424 TID=10136 ImageBase=00007FF7`2EA10000 (x64)
symbols: 3/4 modules loaded

kf(8424:10136/x64/brk)> bp ntdll!NtCreateFile if rcx!=0
✓ bp [1] 00007FFF`BBF8E030  ntdll!NtCreateFile  if rcx!=0

kf(8424:10136/x64/brk)> g
*** BP at 00007FFF`BBF8E030  ntdll!NtCreateFile

kf(8424:10136/x64/brk)> u rip 5
►  00007FFF`BBF8E030  4c 8b d1  mov r10, rcx  ntdll!NtCreateFile

Points forts : cibles x64 + WoW64 (x86), résolution des symboles PDB via le Microsoft Symbol Server, évaluateur d'expressions (rsp+8, [rsp], module!func), points d'arrêt conditionnels, Step Into / Step Over / Step Out, primitives anti-débogage, sortie colorée ANSI, readline avec historique persistant.

Référence complète des commandes : docs/cli.md

Fonctionnalités

Débogage

• Points d'arrêt logiciels (INT3), points d'arrêt matériels (DR0-DR3), points d'arrêt mémoire (PAGE_GUARD)
• Watchpoints matériels — écriture et lecture/écriture de données (1/2/4/8 octets)
• Points d'arrêt conditionnels et de journalisation
• Step into (F7), step over (F8), step out (Ctrl+F9), exécuter jusqu'au curseur (F4)
• Édition des registres — modifier n'importe quel GPR, RIP, RFLAGS, DR0-7
• Assembleur inline, patch NOP, suivi des patchs avec annulation

Analyse

• Hex dump avec recherche de motifs binaires (caractères génériques ??)
• Recherche de chaînes (ASCII/Unicode) dans tous les modules
• Énumération des modules, threads, piles d'appels, chaînes SEH
• Listes des imports, exports, sections, fonctions
• Allocation mémoire, modifications de protection, snapshot & diff
• Décompilateur RetDec avec coloration syntaxique C adaptée au thème
• Barre de navigation de style IDA — carte des sections codée par couleur avec marqueurs RIP/points d'arrêt/signets
• Résolution des symboles PDB via le Microsoft Symbol Server
• Nommage de fonctions défini par l'utilisateur avec RegisterFunction

Thèmes

9 thèmes intégrés (default-dark, x64dbg, monokai, ollydbg, ollydbg-light, ida-pro, dracula, long_night, sakura) avec changement à l'exécution et plus de 100 clés de couleur personnalisables.

Plugins (17)

Ingénierie inverse

Plugin	Description
Graph View	CFG de style IDA avec coloration des blocs, réduire/développer, navigation entre fonctions
Xrefs	Références croisées — trouver tous les appelants/références vers n'importe quelle adresse
FLIRT Signatures	Reconnaissance de fonctions par motifs d'octets (.pat + MSVC CRT intégré)
Signature Detector	Détection de packers/compilateurs compatible PEiD (4445 signatures)
PE Rebuilder	Dumper PE avec reconstruction de l'IAT (style Scylla)
String Decryptor	Déchiffrement automatisé de chaînes
VulnHunter	Scanner d'utilisation d'API dangereuses

Analyse dynamique

Plugin	Description
API Monitor	Interception d'API en temps réel avec journalisation des paramètres
Network Monitor	Capture du trafic réseau (send/recv/connect) avec export CSV
Memory Scanner	Scan de valeurs avec filtrage ultérieur
Themida Unpacker	Déballeur automatisé Themida/WinLicense

Automatisation & IA

Plugin	Description
C# Scripting	REPL Roslyn avec API complète du débogueur, coloration syntaxique, état persistant
AI Assistant	Assistant d'ingénierie inverse (compatible OpenAI) avec plus de 65 outils de débogage
MCP Server	Model Context Protocol — connecter des clients IA (Claude Code, Cursor) au débogueur
Session Manager	Sauvegarder/charger une session (points d'arrêt, commentaires, noms de fonctions) avec rebasage ASLR
Bookmarks/Notes	Signets d'adresses avec annotations, persistés entre les sessions
Anti-Debug Bypass	Patch automatique PEB/DebugPort/ThreadHide/HeapFlags

Tous les plugins partagent un SDK commun avec accès à la mémoire, aux points d'arrêt, aux symboles, à l'interface, aux événements, au contrôle d'exécution et à la communication inter-plugins.

Raccourcis clavier

Touche	Action
F2	Basculer un point d'arrêt
F4	Exécuter jusqu'au curseur
F5 / F9	Continuer / Exécuter
F7	Step into
F8	Step over
Ctrl+F9	Step out
F12	Pause
Espace	Assembleur inline
Ctrl+G	Aller à l'adresse
Ctrl+F	Recherche binaire
F11	Plein écran
Shift+F5	Exécuter un script

Documentation