CFB

यह क्या है?

[!CAUTION] CFB केवल अनुसंधान और डीबग उद्देश्यों के लिए है, इसे कभी भी उत्पादन प्रणालियों पर उपयोग नहीं किया जाना चाहिए। BSoD भी हो सकता है। आपको चेतावनी दी गई है।

कैनेडियन फ्यूरियस बीवर एक ProcMon-शैली का उपकरण है जो केवल किसी भी Windows ड्राइवर को भेजे गए IRPs को कैप्चर करने के लिए डिज़ाइन किया गया है। यह 2 भागों में काम करता है:

1. "ब्रोकर" एक यूज़र-लैंड एजेंट और एक स्वयं-निष्कर्षण ड्राइवर (IrpMonitor.sys) को जोड़ता है जो लक्षित प्रणाली पर स्वयं स्थापित होगा। ड्राइवर स्थापित करने के बाद, ब्रोकर एक TCP पोर्ट को सुनने के लिए खोलेगा (डिफ़ॉल्ट रूप से, TCP/1337 पर) और हुक किए गए ड्राइवरों से IRP एकत्र करना शुरू करेगा। संचार प्रोटोकॉल को डिज़ाइन द्वारा सरल (अर्थात सुरक्षित नहीं) बनाया गया था जो किसी भी तीसरे पक्ष के उपकरण को समान ब्रोकर से ड्राइवर IRPs को आसानी से डंप करने की अनुमति देता है (सरल JSON संदेशों के माध्यम से)।

2. क्लाइंट ब्रोकर से कनेक्ट हो सकते हैं, और IRPs को JSON संदेश के रूप में प्राप्त करेंगे जिससे देखना, या किसी अन्य प्रारूप में परिवर्तित करना आसान हो जाता है।

3. IRPs (मेटाडेटा, इनपुट/आउटपुट बफ़र्स) को डिस्क पर फ़ाइल में JSON प्रारूप में संग्रहीत किया जा सकता है जिससे आसान आगे की स्क्रिप्टिंग की अनुमति मिलती है।

[!WARNING] हालांकि CFB ड्राइवर (IrpMonitor.sys) को पैचगार्ड का उल्लंघन नहीं करना चाहिए, यह केवल स्व-हस्ताक्षरित है और इसलिए BCD में TestSigning सक्षम होना आवश्यक है

नाम क्यों?

क्योंकि मुझे इस उपकरण के नाम का कोई विचार नहीं था, इसलिए इसे कृपापूर्वक मेरे एक स्क्रिप्ट द्वारा उत्पन्न किया गया था।

श्रेय

• processhacker उनकी phnt हेडर फ़ाइलों के लिए
• nlohmann उनकी json लाइब्रेरी के लिए