DIRT: ドライバ初期偵察ツール

このツールは、C++の学習と、Windowsシステムにインストールされているドライバの初期評価（例：OEMや企業が開発したマスターイメージ）のために作成しています。ターゲットの選択、簡単に取れる脆弱性の発見、深掘りバイナリ分析の補助に役立つことを目的としています。現在不安定で、活発に開発中です。

主要機能

DeviceIoControlを介して非管理者ユーザーが操作可能なカーネルモードドライバの一覧表示。
- これは、LPEに悪用される可能性のあるドライバを絞り込むのに役立ちます。
ドライバに関連付けられた会社名を取得し、所有権を特定。
- これは、サードパーティ製ドライバとMicrosoft製ドライバを分離するためのターゲット選択に役立ちます。
DeviceIoControlからのリクエストを処理するDispatchDeviceControlルーチンの解決。
- これにより、IDAで関数を見つけやすくなります（静的解析のヒューリスティックに頼るのではなく）。
- この関数を分析することで、IOCTLコードを列挙し、攻撃対象領域の分析を行うことができます。
DispatchDeviceControlがサポートするIOCTLコードの列挙。
- シンボリック実行（これのような）の機会があるかもしれませんが、どの程度堅牢かは不明です。
特定のカーネルモードドライバを呼び出すユーザーモードドライバの列挙。

副次機能

CLIおよびGUIモード。
出力形式: JSON、CSV、人間が読めるテキスト。

代替ツール

これらのユースケースでは、DeviceTree、WinObjEx64、WinDbgを組み合わせて使用していました。面倒で手作業が多く、簡単にスケールしないため、DIRTはより便利にすることを試みています。

ビルド

これはVisual Studio 2015以降でコンパイルできるはずです。

使用方法

管理者権限のコマンドプロンプトで bcdedit -debug on を使用してデバッグモードを有効にします。
kldbgdrv.sys (WinDbgに付属) を DIRT.exe と同じディレクトリに配置します。
管理者権限で DIRT.exe > output.txt を実行します。

--lp-only および --no-msft スイッチを使用して結果をフィルタリングできます。

以下は、出力イメージのサンプルです：

DIRT v0.1.0: Driver Initial Reconnaisance Tool (@Jackson_T)
Repository:  https://github.com/jthuraisamy/DIRT
Compiled on: Aug 22 2018 00:01:04

INFO: Hiding Microsoft drivers (--no-msft).
INFO: Only showing drivers that low-privileged users can interface with (--lp-only).

Capcom: Capcom
Path: C:\Windows\System32\Capcom.sys
DispatchDeviceControl: 0xFFFFF8024C9A0590
Devices: 1
└── \Device\Htsysm72FB (open DACL, 1 symlinks)
    └── \\.\Global\Htsysm72FB

SmbDrvI: SmbDrvI (Synaptics Incorporated)
Path: C:\WINDOWS\System32\drivers\Smb_driver_Intel.sys - Hooked by Wdf01000 (Microsoft Corporation)
DispatchDeviceControl: 0xFFFFF808212C72B0
Devices: 1
└── \Device\SmbDriver (open DACL, 1 symlinks)
    └── \\.\Global\SmbDriver

nvlddmkm: nvlddmkm
Path: C:\Windows\System32\DriverStore\FileRepository\nvlt.inf_amd64_ed3ba3fb30d4dd86\nvlddmkm.sys
DispatchDeviceControl: 0xFFFFF80822D074D0
Devices: 2
├── \Device\NvAdminDevice (open DACL, 1 symlinks)
│   └── \\.\Global\NvAdminDevice
└── \Device\UVMLiteController0x1 (open DACL, 1 symlinks)
    └── \\.\Global\UVMLiteController

また、DIRT::Main::ExportCSV() を使用したCSV出力も利用可能です：

CSV

著者

Jackson Thuraisamy (2018). このコードは、@hFireF0X による WinObjEx64 プロジェクトから多大に派生しています。

ライセンス

MIT

DIRT

人気