KernelFlirt

OllyDbg/IDA Pro スタイルのインターフェースを備えた Windows カーネルレベルのデバッガ。VM 環境 (VMware) でのセキュリティ研究、リバースエンジニアリング、マルウェア解析向けに設計されています。

アーキテクチャ

  Host machine                           VM (Windows 10, testsigning)
┌──────────────────┐    TCP:31337    ┌──────────────────┐     IOCTL      ┌──────────────────┐
│  KernelFlirt UI  │◄───────────────►│   KfRelay.exe    │◄──────────────►│ KernelFlirt.sys  │
│  (WPF / .NET 9)  │  CMD+DBG ch.    │   (TCP proxy)    │  DeviceIoCtl   │ (WDM Driver)     │
└──────────────────┘                 └──────────────────┘                └──────────────────┘
                                     ┌──────────────────┐  SCM API
                                     │  KfLoader.exe    │──────────────────────┘
                                     │  (C / Console)   │  load / unload / status
                                     └──────────────────┘

コンポーネント	言語	説明
KernelFlirt.UI	C# / WPF	デバッガインターフェース (ホスト上で実行)
KernelFlirt.sys	C / WDM	カーネルドライバ — メモリ、ブレークポイント、KdTrap インラインフック
KfRelay.exe	C	VM 上の TCP リレー、IOCTL をネットワーク経由でプロキシ
KfLoader.exe	C	SCM 経由でドライバをロード/アンロードする CLI
KfConsole.exe	C# / .NET 9	コンソールデバッガ — 同じドライバ上で動作する WinDbg/x64dbg スタイルの REPL
KernelFlirt.SDK	C# / .NET 9	プラグイン SDK — 拡張機能向けの完全なデバッガ API

クイックスタート

:: VM — load driver and start relay
KfLoader.exe load
KfRelay.exe

:: Host — launch the UI and connect
KernelFlirt.exe → Connect → VM IP

1. File → Open — VM のファイルシステムを参照し、EXE/SYS を選択
2. プロセスはサスペンド状態で作成され、エントリポイント BP が自動設定される
3. F9 — エントリポイントまで実行、シンボルとモジュールがロードされる
4. ブレークポイントを設定し、コードをステップ実行し、メモリとレジスタを検査する

カーネルドライバのデバッグ: Kernel Modules タブを開き、対象のドライバを見つけ、任意の関数にブレークポイントを設定 — ユーザーモードとカーネルモードの両方で。

コンソールフロントエンド (KfConsole)

WPF UI は不要ですか？ KfConsole.exe (bin\Console\ 内) は、同じドライバとリレー上で動作する WinDbg/x64dbg スタイルの REPL です。

kf> connect 10.100.102.6:31337
✓ connected (10.100.102.6:31337), driver v0x10000

kf*> open C:\Temp\target.exe
✓ created PID=8424 TID=10136 ImageBase=00007FF7`2EA10000 (x64)
symbols: 3/4 modules loaded

kf(8424:10136/x64/brk)> bp ntdll!NtCreateFile if rcx!=0
✓ bp [1] 00007FFF`BBF8E030  ntdll!NtCreateFile  if rcx!=0

kf(8424:10136/x64/brk)> g
*** BP at 00007FFF`BBF8E030  ntdll!NtCreateFile

kf(8424:10136/x64/brk)> u rip 5
►  00007FFF`BBF8E030  4c 8b d1  mov r10, rcx  ntdll!NtCreateFile

ハイライト: x64 + WoW64 (x86) ターゲット、Microsoft Symbol Server 経由の PDB シンボル解決、 式エバリュエータ (rsp+8、[rsp]、module!func)、条件付きブレークポイント、 Step Into / Step Over / Step Out、アンチデバッグプリミティブ、ANSI カラー出力、 永続履歴付き readline。

完全なコマンドリファレンス: docs/cli.md

機能

デバッグ

• ソフトウェアブレークポイント (INT3)、ハードウェアブレークポイント (DR0-DR3)、メモリブレークポイント (PAGE_GUARD)
• ハードウェアウォッチポイント — 書き込みおよび読み書きデータ (1/2/4/8 バイト)
• 条件付きおよびロギングブレークポイント
• ステップイン (F7)、ステップオーバー (F8)、ステップアウト (Ctrl+F9)、カーソルまで実行 (F4)
• レジスタ編集 — 任意の GPR、RIP、RFLAGS、DR0-7 を変更
• インラインアセンブラ、NOP パッチ、アンドゥ付きパッチトラッキング

解析

• バイナリパターン検索付きヘックスダンプ (?? ワイルドカード)
• 全モジュールにわたる文字列検索 (ASCII/Unicode)
• モジュール、スレッド、コールスタック、SEH チェーンの列挙
• インポート、エクスポート、セクション、関数リスト
• メモリ割り当て、保護変更、スナップショット & 差分
• テーマ対応 C 構文ハイライト付き RetDec デコンパイラ
• IDA スタイルのナビゲーションバー — RIP/ブレークポイント/ブックマークマーカー付きの色分けセクションマップ
• Microsoft Symbol Server 経由の PDB シンボル解決
• RegisterFunction によるユーザー定義関数の命名

テーマ

9 種類の組み込みテーマ (default-dark、x64dbg、monokai、ollydbg、ollydbg-light、ida-pro、dracula、long_night、sakura)、実行時切り替えと 100 以上のカスタマイズ可能なカラーキー。

プラグイン (17)

リバースエンジニアリング

プラグイン	説明
Graph View	ブロックの色分け、折りたたみ/展開、関数ナビゲーションを備えた IDA スタイルの CFG
Xrefs	クロスリファレンス — 任意のアドレスへのすべての呼び出し元/参照を検索
FLIRT Signatures	バイトパターンによる関数認識 (.pat + 組み込み MSVC CRT)
Signature Detector	PEiD 互換のパッカー/コンパイラ検出 (4445 シグネチャ)
PE Rebuilder	IAT 再構築付き PE ダンパー (Scylla スタイル)
String Decryptor	自動文字列復号
VulnHunter	危険な API 使用のスキャナ

動的解析

プラグイン	説明
API Monitor	パラメータロギング付きリアルタイム API インターセプト
Network Monitor	ネットワークトラフィックキャプチャ (send/recv/connect)、CSV エクスポート付き
Memory Scanner	値スキャンとその後のフィルタリング
Themida Unpacker	自動 Themida/WinLicense アンパッカー

自動化 & AI

プラグイン	説明
C# Scripting	完全なデバッガ API、構文ハイライト、永続状態を備えた Roslyn REPL
AI Assistant	65 以上のデバッガツールを備えたリバースエンジニアリングアシスタント (OpenAI 互換)
MCP Server	Model Context Protocol — AI クライアント (Claude Code、Cursor) をデバッガに接続
Session Manager	セッションの保存/読み込み (ブレークポイント、コメント、関数名)、ASLR リベース付き
Bookmarks/Notes	注釈付きアドレスブックマーク、セッション間で永続化
Anti-Debug Bypass	自動 PEB/DebugPort/ThreadHide/HeapFlags パッチ

すべてのプラグインは、メモリ、ブレークポイント、シンボル、UI、イベント、実行制御、プラグイン間通信にアクセスできる共通 SDK を共有しています。

キーボードショートカット

キー	アクション
F2	ブレークポイントの切り替え
F4	カーソルまで実行
F5 / F9	続行 / 実行
F7	ステップイン
F8	ステップオーバー
Ctrl+F9	ステップアウト
F12	一時停止
Space	インラインアセンブラ
Ctrl+G	アドレスへ移動
Ctrl+F	バイナリ検索
F11	フルスクリーン
Shift+F5	スクリプト実行

ドキュメント

ドキュメント	EN	RU
SDK & Plugin Development	SDK-en.md	SDK-ru.md
C# Scripting Reference	scripting-reference-en.md	scripting-reference-ru.md
CLI (KfConsole)	cli.md	—
Changelog	CHANGELOG.md

SDK (~55 ページ)

KernelFlirt プラグイン構築の完全ガイド: プロジェクトセットアップ、完全なパラメータ説明付きの全 API インターフェース、データモデル、UI 開発 (WPF/テーマ)、イベント、スレッディング、プラグイン間通信、永続化、アンチデバッグ API、4 つの完全なサンプルプラグイン、ベストプラクティス。

Scripting Reference (~30 ページ)

C# REPL スクリプティングガイド: パラメータ付きの全ショートカットと API メソッド、12 のデータモデル、18 以上の実践レシピ (PE 解析、文字列復号、IAT 再構築、アンパッカースクリプティング、メモリスキャン、API トレース)、ヒント & 落とし穴。

ビルド

要件: Visual Studio 2022 (C++)、WDK 10.0.26100.0+、.NET 9 SDK、Windows 10/11 x64

.\build.ps1                          # Release
.\build.ps1 -Configuration Debug     # Debug

出力: bin/Driver/、bin/Loader/、bin/Relay/、bin/UI/ (+ プラグイン + テーマ)、bin/Console/

安全性

• VM 専用 — testsigning が有効な仮想マシン向け
• 本番環境向けではない — ドライバはカーネルコードを変更します (KdpStub へのインラインフック)

ライセンス

教育およびセキュリティ研究目的のみ。認可された環境で責任を持って使用してください。