DIRT: ड्राइवर प्रारंभिक टोही उपकरण

मैं C++ सीखने और Windows सिस्टम पर स्थापित ड्राइवरों का प्रारंभिक मूल्यांकन प्राप्त करने के लिए यह उपकरण लिख रहा हूँ (जैसे OEM या उद्यमों द्वारा विकसित मास्टर छवियाँ)। इसका उद्देश्य लक्ष्य चयन, कम-लटकते फल खोजने, और गहन-गोता बाइनरी विश्लेषण में कुछ सहायता प्रदान करना है। वर्तमान में अस्थिर, सक्रिय विकासाधीन।

प्राथमिक विशेषताएं

• कर्नेल-मोड ड्राइवरों की सूची जिनके साथ गैर-प्रशासनिक उपयोगकर्ता DeviceIoControl के माध्यम से बातचीत कर सकते हैं।
  • यह उन ड्राइवरों को सीमित करने में उपयोगी हो सकता है जो संभावित रूप से LPE की ओर उपयोग किए जा सकते हैं।
• ड्राइवरों से जुड़ी कंपनी के नामों की पुनर्प्राप्ति करके स्वामित्व का निर्धारण करना।
  • यह लक्ष्य चयन में तृतीय-पक्ष ड्राइवरों को Microsoft ड्राइवरों से अलग करने में उपयोगी हो सकता है।
• DeviceIoControl से अनुरोधों को संभालने के लिए उपयोग किए जाने वाले DispatchDeviceControl रूटीन का समाधान करना।
  • यह IDA में फ़ंक्शन ढूंढना आसान बनाता है (स्थैतिक विश्लेषण में ह्युरिस्टिक्स पर निर्भर रहने के विपरीत)।
  • फ़ंक्शन का IOCTL कोड को गिनने और हमले की सतह विश्लेषण करने के लिए विश्लेषण किया जा सकता है।
• DispatchDeviceControl द्वारा समर्थित IOCTL कोड की गणना।
  • इस तरह प्रतीकात्मक निष्पादन का अवसर हो सकता है, लेकिन यह कितना मजबूत हो सकता है यह निश्चित नहीं है।
• उपयोगकर्ता-मोड ड्राइवरों की गणना जो किसी दिए गए कर्नेल-मोड ड्राइवर को कॉल करते हैं।

द्वितीयक विशेषताएं

• CLI और GUI मोड।
• आउटपुट प्रारूप: JSON, CSV, और मानव-पठनीय पाठ।

वैकल्पिक उपकरण

मैंने इन उपयोग-मामलों के लिए DeviceTree, WinObjEx64 और WinDbg के संयोजन का उपयोग किया है। यह एक थकाऊ मैनुअल प्रक्रिया है जो आसानी से स्केल नहीं होती है, इसलिए DIRT इसे और अधिक सुविधाजनक बनाने का प्रयास करता है।

निर्माण

यह Visual Studio 2015 या उससे नए संस्करण के साथ संकलित होना चाहिए।

उपयोग

1. प्रशासनिक कमांड प्रॉम्प्ट के साथ bcdedit -debug on का उपयोग करके डीबग मोड सक्षम करें।
2. kldbgdrv.sys (WinDbg के साथ मिला) को DIRT.exe के समान निर्देशिका में रखें।
3. प्रशासनिक विशेषाधिकारों के साथ DIRT.exe > output.txt चलाएँ।

परिणामों को फ़िल्टर करने के लिए --lp-only और --no-msft स्विच का उपयोग किया जा सकता है।

नीचे कुछ नमूना आउटपुट है जिससे यह जाना जा सकता है कि क्या अपेक्षा करें:

DIRT v0.1.0: Driver Initial Reconnaisance Tool (@Jackson_T)
Repository:  https://github.com/jthuraisamy/DIRT
Compiled on: Aug 22 2018 00:01:04

INFO: Hiding Microsoft drivers (--no-msft).
INFO: Only showing drivers that low-privileged users can interface with (--lp-only).

Capcom: Capcom
Path: C:\Windows\System32\Capcom.sys
DispatchDeviceControl: 0xFFFFF8024C9A0590
Devices: 1
└── \Device\Htsysm72FB (open DACL, 1 symlinks)
    └── \\.\Global\Htsysm72FB

SmbDrvI: SmbDrvI (Synaptics Incorporated)
Path: C:\WINDOWS\System32\drivers\Smb_driver_Intel.sys - Hooked by Wdf01000 (Microsoft Corporation)
DispatchDeviceControl: 0xFFFFF808212C72B0
Devices: 1
└── \Device\SmbDriver (open DACL, 1 symlinks)
    └── \\.\Global\SmbDriver

nvlddmkm: nvlddmkm
Path: C:\Windows\System32\DriverStore\FileRepository\nvlt.inf_amd64_ed3ba3fb30d4dd86\nvlddmkm.sys
DispatchDeviceControl: 0xFFFFF80822D074D0
Devices: 2
├── \Device\NvAdminDevice (open DACL, 1 symlinks)
│   └── \\.\Global\NvAdminDevice
└── \Device\UVMLiteController0x1 (open DACL, 1 symlinks)
    └── \\.\Global\UVMLiteController

DIRT::Main::ExportCSV() का उपयोग करके CSV आउटपुट भी उपलब्ध है:

लेखक

जैक्सन थुरैसामी (2018)। कोड @hFireF0X द्वारा WinObjEx64 परियोजना से अत्यधिक व्युत्पन्न है।

लाइसेंस

MIT