Windows 用イベントトレーシング (ETW) を介した RPC 通信をスキャンする GUI ツール。
このツールは、ホストと Windows コンテナ間の RPC 通信に関する研究の一環として公開されました。
RPCMon は、研究者がプロセス間の RPC 通信の概要を把握するのに役立ちます。使いやすさを考慮して Procmon のように構築され、RPC に James Forshaw の .NET ライブラリを使用しています。RPCMon は、呼び出されている RPC 関数、呼び出したプロセス、およびその他の関連情報を表示できます。
RPCMon は、RPC モジュールに関する情報を含むハードコードされた RPC 辞書を使用して、高速な RPC 情報処理を実現しています。また、ハードコードされた RPC 辞書に不足している詳細がある場合に、コンピュータから更新される RPC データベースを構築するオプションもあります。
EXE バイナリを管理者権限（「管理者として実行」）でダブルクリックすると、GUI ウィンドウが表示されます。
RPCMon は RPC 関数の詳細を取得するために DB を必要とします。DB がないと情報が欠落します。
DB を読み込むには、DB -> Load DB... を押して DB を選択します。このプロジェクトに追加した DB を使用できます：/DB/RPC_UUID_Map_Windows10_1909_18363.1977.rpcdb.json。
GitHub からダウンロードするとブロックファイルのエラーが発生する場合があります。PowerShell を使用してブロックを解除できます：
Get-ChildItem -Path 'D:\tmp\PipeViewer-main' -Recurse | Unblock-File
RPC 関数を取得することを可能にしたオープンソース NtApiDotNet を作成してくれた James Forshaw (@tyranid) に感謝します。
Copyright (c) 2022 CyberArk Software Ltd. All rights reserved
このリポジトリは Apache-2.0 ライセンスの下でライセンスされています。詳細は LICENSE を参照してください。
コメント、提案、質問がある場合は、Eviatar Gerzi (@g3rzi) および CyberArk Labs までご連絡ください。