CFB

이게 뭐죠?

[!CAUTION] CFB는 연구 및 디버그 목적으로만 사용해야 하며, 프로덕션 시스템에서 절대 사용해서는 안 됩니다. 또한 BSoD가 발생할 수 있습니다. 경고했습니다.

Canadian Furious Beaver는 Windows 드라이버로 전송되는 IRP만 캡처하도록 설계된 ProcMon 스타일 도구입니다. 2가지 부분으로 작동합니다:

1. "브로커(Broker)"는 사용자 영역 에이전트와 자동 추출 드라이버(IrpMonitor.sys)를 결합하여 대상 시스템에 설치됩니다. 드라이버 설치 후, 브로커는 TCP 포트(기본적으로 TCP/1337)를 열어 수신 대기하고 후킹된 드라이버로부터 IRP를 수집하기 시작합니다. 통신 프로토콜은 의도적으로 단순하게(즉, 안전하지 않게) 설계되어, 어떤 타사 도구도 동일한 브로커에서 드라이버 IRP를 쉽게 덤프할 수 있습니다 (간단한 JSON 메시지를 통해).

2. 클라이언트는 브로커에 연결하여 IRP를 JSON 메시지로 수신하며, 이를 쉽게 보거나 다른 형식으로 변환할 수 있습니다.

3. IRP(메타데이터, 입력/출력 버퍼)는 JSON 형식으로 디스크의 파일에 저장되어 추가 스크립팅이 용이합니다.

[!WARNING] CFB 드라이버(IrpMonitor.sys)는 PatchGuard를 위반하지 않아야 하지만, 자체 서명만 되어 있으므로 BCD에서 TestSigning을 활성화해야 합니다.

이름의 이유는?

이 도구의 이름에 대한 아이디어가 없었기 때문에, 제 스크립트에서 우아하게 생성되었습니다.

감사의 말

• IRP 후킹을 위한 phnt 헤더 파일을 제공한 processhacker
• json 라이브러리를 제공한 nlohmann