cyberark/rpcmonStrumento di monitoraggio RPC basato su Event Tracing for Windows
Uno strumento GUI per scansionare la comunicazione RPC tramite Event Tracing for Windows (ETW).
Lo strumento è stato pubblicato come parte di una ricerca sulla comunicazione RPC tra l'host e un container Windows.
RPCMon può aiutare i ricercatori ad ottenere una visione di alto livello sulla comunicazione RPC tra processi. È stato costruito come Procmon per facilità d'uso e utilizza la libreria .NET di James Forshaw per RPC. RPCMon può mostrare le funzioni RPC chiamate, il processo che le ha chiamate e altre informazioni rilevanti.
RPCMon utilizza un dizionario RPC hardcoded per un'elaborazione rapida delle informazioni RPC che contiene informazioni sui moduli RPC. Ha anche un'opzione per costruire un database RPC in modo che venga aggiornato dal tuo computer nel caso alcuni dettagli manchino nel dizionario RPC hardcoded.
Fare doppio clic sul binario EXE con privilegi di amministratore ("Esegui come amministratore") e otterrai la finestra GUI.
RPCMon ha bisogno di un DB per poter ottenere i dettagli sulle funzioni RPC; senza un DB avrai informazioni mancanti.
Per caricare il DB, premi su DB -> Load DB... e scegli il tuo DB. Puoi utilizzare un DB che abbiamo aggiunto a questo progetto: /DB/RPC_UUID_Map_Windows10_1909_18363.1977.rpcdb.json.
Quando lo scarichi da GitHub potresti ricevere un errore di file bloccati, puoi usare PowerShell per sbloccarli:
Get-ChildItem -Path 'D:\tmp\PipeViewer-main' -Recurse | Unblock-File
Vogliamo ringraziare James Forshaw (@tyranid) per aver creato l'open source NtApiDotNet che ci ha permesso di ottenere le funzioni RPC.
Copyright (c) 2022 CyberArk Software Ltd. Tutti i diritti riservati.
Questo repository è concesso in licenza sotto la licenza Apache-2.0 - consulta LICENSE per maggiori dettagli.
Per ulteriori commenti, suggerimenti o domande, puoi contattare Eviatar Gerzi (@g3rzi) e CyberArk Labs.