DriverBuddy

WDM Structs को लेबल करना

कई ड्राइवर संरचनाएँ सभी WDM ड्राइवरों के बीच साझा होती हैं। IO_STACK_LOCATION, IRP और DeviceObject जैसी इन संरचनाओं की स्वचालित रूप से पहचान करने में सक्षम होना रिवर्स इंजीनियरिंग प्रक्रिया के दौरान समय बचाने में मदद कर सकता है। DriverBuddy इनमें से कई structs का पता लगाने और पहचानने का प्रयास करता है।

WDF फ़ंक्शनों को लेबल करना

WDM ड्राइवरों की तरह, कई फ़ंक्शन और संरचनाएँ हैं जो सभी WDF ड्राइवरों के बीच साझा होती हैं। इन फ़ंक्शनों और संरचनाओं की स्वचालित पहचान रिवर्स इंजीनियरिंग प्रक्रिया के दौरान समय बचाएगी और ड्राइवर के उन अपहचाने क्षेत्रों को संदर्भ प्रदान करेगी जहाँ ये फ़ंक्शन उपयोग में हैं।

DeviceIoControl कोड डिकोड करना

ड्राइवरों को रिवर्स करते समय, विश्लेषण के भाग के रूप में IOCTL कोड मिलना आम बात है। ये कोड, जब डिकोड किए जाते हैं, तो रिवर्स इंजीनियर्स को उपयोगी जानकारी प्रकट करते हैं और ड्राइवर के उन विशिष्ट भागों पर ध्यान केंद्रित कर सकते हैं जहाँ कमजोरियों की संभावना अधिक होती है।

भविष्य के कार्य:

1. refcount समस्याओं का पता लगाने में मदद के लिए किसी प्रकार की obref और deref जाँच जोड़ें
2. आउटपुट को निखारें, gui?
3. वर्तमान विशेषताओं को मज़बूत/निखारें
   • DispatchDeviceControl खोजक की विश्वसनीयता में सुधार करें
   • चीज़ों को फ्लैग क्यों किया जाता है, इसके बारे में संक्षिप्त विवरण लिखें
   • MSDN दस्तावेज़ इम्पोर्टर

विस्तारित लक्ष्य:

1. IOCTL को स्वचालित रूप से खोजें
2. IRP taint विश्लेषण अर्थात् sysbuf/inbuf, size की aliasing का अनुसरण करें
3. अन्य सामान्य संरचनाओं की पहचान करें
4. अप्रारंभित चर, आदि

श्रेय

• हम Satoshi Tanda के IOCTL डिकोडर का उपयोग कर रहे हैं, मूल रूप से यहाँ पाया गया https://github.com/tandasat/WinIoCtlDecoder।
• WDF functions struct Red Plait के कार्य पर आधारित है (http://redplait.blogspot.ru/2012/12/wdffunctionsidc.html) और इसे Nicolas Guigo द्वारा IDA Python में पोर्ट किया गया था, बाद में हमारे द्वारा अद्यतन किया गया।

लाइसेंस

यह सॉफ़्टवेयर MIT लाइसेंस के तहत जारी किया गया है, LICENSE देखें।