hugsy/cfbMonitor IRP in stile ProcMon per driver Windows. Cattura e registra i pacchetti di richiesta I/O tramite un driver kernel e un broker user-land, producendo JSON per analisi e scripting.
[!CAUTION] CFB è pensato per scopi di ricerca e debug, non dovrebbe mai essere utilizzato su sistemi di produzione. Inoltre potrebbero verificarsi BSoD. Siete stati avvertiti.
Canadian Furious Beaver è un tool in stile ProcMon progettato solo per catturare gli IRP inviati a qualsiasi driver Windows. Opera in 2 parti:
il "Broker" combina un agente user-land e un driver autoestraente (IrpMonitor.sys) che si installerà sul sistema di destinazione. Dopo aver installato il driver, il broker esporrà una porta TCP in ascolto (di default, su TCP/1337) e inizierà a raccogliere IRP dai driver hookati. Il protocollo di comunicazione è stato progettato per essere semplice (cioè non sicuro) permettendo a qualsiasi tool di terze parti di scaricare facilmente gli IRP del driver dallo stesso Broker (tramite semplici messaggi JSON).
i client possono connettersi al broker e riceveranno gli IRP come messaggi JSON, rendendo facile visualizzarli o convertirli in un altro formato.
[!WARNING] Sebbene il driver CFB (
IrpMonitor.sys) non dovrebbe violare patchguard, è comunque auto-firmato e quindi richiede l'abilitazione diTestSigningnel BCD
Perché non avevo idea del nome per questo tool, quindi è stato gentilmente generato da un mio script.
