CFB

これは何ですか？

[!CAUTION] CFB は研究およびデバッグ目的を意図しており、本番システムで使用すべきではありません。また、BSoD が発生する可能性があります。ご注意ください。

Canadian Furious Beaver は、Windows ドライバに送信される IRP のみをキャプチャするために設計された ProcMon スタイルのツールです。これは 2 つのパートで動作します：

1. 「Broker」は、ユーザーランドエージェントと自己展開可能なドライバー (IrpMonitor.sys) の両方を組み合わせており、対象システムに自身をインストールします。ドライバーをインストールした後、Broker は TCP ポート（デフォルトでは TCP/1337）をリッスンして公開し、フックされたドライバーから IRP を収集し始めます。通信プロトコルは設計上シンプル（つまり安全ではない）であるため、任意の サードパーティツール が同じ Broker からドライバーの IRP を簡単にダンプできます（単純な JSON メッセージを使用）。

2. クライアントは Broker に接続し、IRP を JSON メッセージとして受信するため、表示や別の形式への変換が容易です。

3. IRP（メタデータ、入出力バッファ）はディスク上のファイルに JSON 形式で保存できるため、スクリプトでの後処理が容易です。

[!WARNING] CFB ドライバー (IrpMonitor.sys) はパッチガードに違反しないはずですが、自己署名のみであるため、BCD で TestSigning を有効にする必要があります。

名前の由来は？

このツールの名前を思いつかなかったため、私のスクリプト によって恵み深く生成されました。

謝辞

• processhacker の phnt ヘッダファイル に対して
• nlohmann の json ライブラリ に対して