idov31/jormungandrJormungandr est une implémentation noyau d'un chargeur COFF, permettant aux développeurs de noyau de charger et d'exécuter leurs COFFs dans le noyau.
Jormungandr est une implémentation noyau d'un chargeur de COFF, permettant aux développeurs noyau de charger et d'exécuter leurs COFF dans le noyau. Le seul type de COFF pris en charge est un COFF noyau x64 (c'est-à-dire un COFF qui utilise des fonctions de NTOSKRNL ou SSDT). Ce projet n'est pas pris en charge avec VBS activé, car il utilise des pools avec des permissions d'exécution, mais ce projet devrait fonctionner sur toute version de Windows à partir de Windows 7.
Si vous n'êtes pas familier avec les COFF et le chargement de COFF, veuillez vous référer au billet de blog de TrustedSec sur les chargeurs COFF.
Pour communiquer avec le pilote, vous pouvez utiliser et compiler le fichier exemple avec CMake. Voici un exemple de l'utilisation la plus basique :
int main() {
HANDLE hDrv = CreateFile(DRIVER_NAME, GENERIC_WRITE | GENERIC_READ, 0, nullptr, OPEN_EXISTING, 0, nullptr);
// ...
BOOL result = WriteFile(hDrv, &data, sizeof(data), &bytesWritten, NULL);
// ...
}
Pour exécuter l'exemple existant, il vous suffit de créer votre propre COFF ou d'utiliser l'exemple :
JormungandrExample.exe example.out
Pour écrire un COFF de noyau, créez un nouveau fichier C et importez les fonctions souhaitées comme suit :
DECLSPEC_IMPORT <FUNCTION_RETURN_TYPE> __cdecl <LIBRARY>$<FUNCTION_NAME>(<PARAMETERS>);
Remplacez <FUNCTION_RETURN_TYPE> par le type de retour de la fonction souhaitée, <LIBRARY> peut être ntoskrnl ou ntdll, le reste étant la signature de la fonction. Une fois la fonction importée, vous pouvez l'utiliser de la manière habituelle pour écrire du code.
Pour compiler le COFF, utilisez mingw avec la commande suivante :
x86_64-w64-mingw32-gcc -c example.c -o example.out
Pour compiler le client, vous devrez installer CMake et Visual Studio 2022, puis exécuter :
cd <JORMUNGANDR PROJECT DIRECTORY>/Example
mkdir build
cd build
cmake ..
cmake --build .
Pour compiler le projet, vous aurez besoin des outils suivants :
Clonez le dépôt et compilez le pilote.
Pour le tester dans votre environnement de test, exécutez ces commandes dans une invite de commandes élevée :
bcdedit /set testsigning on
Après le redémarrage, créez un service et lancez le pilote :
sc create nidhogg type= kernel binPath= C:\Path\To\Driver\Nidhogg.sys
sc start nidhogg
Pour déboguer le pilote dans votre environnement de test, exécutez cette commande dans une invite de commandes élevée et redémarrez votre ordinateur :
bcdedit /debug on
Après le redémarrage, vous pouvez consulter les messages de débogage dans des outils tels que DebugView.
Un grand merci aux personnes qui ont contribué à ce projet :