KsDumper-11
https://github.com/mastercodeon314/KsDumper-11/assets/78676320/9452970c-27cf-44df-b091-0d18a07937e5
Nouveautés v1.3.4
- Nouvelle fonctionnalité ajoutée : Détection Anti Anti-Debugging Tools
- Titre de la fenêtre principale, la plupart des titres de contrôles et le nom du fichier exe randomisés pendant l'exécution
- Le nom du processus est rétabli en KsDumper11.exe à la fermeture du programme
- Option de case à cocher Activer la détection Anti Anti-Debugging Tools ajoutée
- Cette fonctionnalité a été ajoutée dans l'espoir de rendre KsDumper 11 plus furtif lors du dump de programmes dotés de techniques Anti-Debugging plus rudimentaires
- Beaucoup de nettoyage du code source
- Correction du bug de la fenêtre Easter Egg qui ne se fermait pas au clic sur le bouton de fermeture
- Toutes les étiquettes de chaque formulaire sont désormais dessinées manuellement pour contourner la modification du texte des étiquettes lorsque la fonctionnalité Anti Anti-Debugging Tools Detection est activée
- Migration des Application Settings vers un Settings.json personnalisé pour la sauvegarde et le chargement des paramètres
Nouveautés v1.3.3
- Mise à jour de KDU vers v1.4.1
De nouveaux providers ont été ajoutés, voir les notes de patch de KDU sur la dernière version.
Nouveautés v1.3.2
- La fenêtre de sélection des providers dispose désormais d'un bouton pour réinitialiser ou effacer les paramètres des providers.
Cela signifie que tous les providers seront réinitialisés pour devoir être testés, et que le provider par défaut sera réinitialisé.
- Correction d'un bug dans la fenêtre de sélection des providers qui empêchait sa fermeture lorsqu'elle était ouverte depuis la fenêtre principale du Dumper.
Nouveautés v1.3.1
- Mise à jour de KDU vers v1.4.0 ! Le nombre de providers est désormais de 44
Nouveautés v1.3
- Mise à jour de KDU vers KDU V1.3.4 ! Plus de 40 providers différents sont désormais disponibles !
- Suppression de l'ancienne détection automatique des providers fonctionnels, remplacée par un nouveau sélecteur de providers. Les utilisateurs peuvent désormais choisir le provider qu'ils souhaitent utiliser pour charger le driver. Ils peuvent également tester les providers pour voir s'ils fonctionnent sur leur système !
- Tester certains providers peut provoquer un écran bleu (BSOD) et faire planter le système. KsDumper prend désormais en charge la relance après un crash et marquera le dernier provider testé comme non fonctionnel !
- Chaque fois que kdu se charge et détecte une liste de providers enregistrée, il essaiera de charger le driver KsDumper en utilisant le provider par défaut
- La liste des providers et le provider par défaut sélectionné sont désormais enregistrés sous forme de fichiers JSON !
- Mise à jour vers .NET Framework v4.8
Nouveautés v1.2
- KsDumper essaiera désormais de démarrer le driver en utilisant le provider d'exploit kdu par défaut n°1 (RTCore64.sys)
- Si le provider par défaut ne fonctionne pas, KsDumper analysera tous les providers kdu et enregistrera chacun de ceux qui fonctionnent dans une liste.
- Chaque fois que kdu se charge et détecte une liste de providers enregistrée, il essaiera de charger le driver KsDumper en utilisant chaque provider enregistré jusqu'à ce que l'un d'eux fonctionne.
- Cette technique devrait augmenter le nombre de systèmes sur lesquels le driver pourra être chargé.
Support
Vous pouvez rejoindre le serveur Discord officiel de KsDumper 11 où je gère les problèmes en cours.
Pour ceux d'entre vous qui constatent que ksDumper ne démarre pas sur leur système, veuillez rejoindre le serveur et poster vos journaux dans le canal de support.
Veuillez garder à l'esprit que tant que d'autres personnes ne se porteront pas volontaires pour aider au développement de cet outil, je ne suis qu'une seule personne avec une quantité limitée de connaissances.
https://discord.gg/6kfWU3Ckya
Fonctionnalités
- Sélection des providers d'exploit kdu fonctionnels.
- Dump automatique de l'exe sélectionné.
- Le déchargement du driver noyau KsDumper est désormais pris en charge ! Une option a été ajoutée pour le décharger à la sortie du programme, ou à l'arrêt/redémarrage du système.
- Écran de démarrage pendant le chargement du driver
- Actualisation automatique (toutes les 100 ms)
- Suspendre, reprendre, tuer un processus
- Dump du module principal de n'importe quel processus à l'aide d'un driver noyau (x86 et x64)
- Reconstruction de l'en-tête et des sections PE32/PE64
- ^ Cela peut être contourné en supprimant les en-têtes PE. Une fois les en-têtes PE supprimés, le dump est impossible.
- Fonctionne sur les processus système protégés et les processus aux handles supprimés (anti-cheats)
- Fonctionne sur Windows 11, plus de crash !
Remarque : La table d'importation n'est pas reconstruite.
Utilisation
L'ancienne méthode de chargement du driver noyau non signé ksDumper.sys consistait à utiliser l'exploit capcom pour le mapper, ce qui a été corrigé dans Windows 11.
Celui-ci charge le driver avec Kernel Driver Utility, ou KDU en abrégé.
Le chargement du driver est désormais géré par le sélecteur de providers. Il suffit de sélectionner un provider dans la liste, de cliquer sur Tester le driver, et s'il fonctionne, vous pouvez cliquer sur Définir comme provider par défaut et il utilisera le provider sélectionné pour charger le driver KsDumper.
Remarque 2 : Bien qu'il puisse faire le dump de processus x86 et x64, il doit être exécuté sur Windows x64.
Avertissement
Le nouveau sélecteur de providers kdu peut et VA faire planter Windows si un mauvais provider est testé. À ce titre, j'ai implémenté une fonctionnalité permettant à KsDumper d'être relancé après un crash, et il marquera le dernier provider testé comme non fonctionnel. Ainsi, les utilisateurs seront empêchés de tester à nouveau ce provider et moins de crashes devraient résulter de l'utilisation générale de KsDumper 11.
Veuillez noter qu'il peut parfois encore faire planter le système d'exploitation. Je décline toute responsabilité en cas de dommage pouvant survenir à votre système suite à l'utilisation de cet outil.
En raison de la nature du fonctionnement de KDU pour mapper le driver noyau, il est inconnu si le système sur lequel vous l'exécutez
disposera d'un driver exploitable selon les providers kdu.
Si vous essayez de démarrer KsDumper 11 et qu'il ne parvient pas à démarrer le driver, réessayez en tant qu'administrateur.
Si cela échoue toujours, postez le journal. Il y a aussi un manualloader.bat que vous pouvez essayer pour voir la sortie directement.
Vous DEVEZ exécuter KsDumper au moins une fois pour que le fichier kdu.exe et ses dll soient auto-extraits afin que ManualLoader.bat fonctionne.
Ce projet a été mis à disposition à des fins uniquement informatives et éducatives.
Compte tenu de la nature de ce projet, il est fortement recommandé de l'exécuter dans un Environnement Virtuel. Je ne suis pas responsable des crashes ou dommages qui pourraient survenir à votre système.
Important : Cet outil ne tente en aucun cas de se cacher. Si vous ciblez des jeux protégés, l'anti-cheat pourrait le signaler comme un cheat et vous bannir après un certain temps. Utilisez un Environnement Virtuel !
Liens de don
Tout est très utile ! Tout don m'aide à continuer à développer ce programme et d'autres !
Références
Compilation
- Nécessite Visual Studio 2022 (doit utiliser 2019 pour compiler le driver, et le WDK 2019)
- Nécessite .NET 4.8
- Window Driver Framework (WDK)
mastercodeon314/ksdumper-11
