NtWARden

Windows 분석 및 연구 툴킷

• ImGui + DirectX 11 기반의 Windows 시스템 검사 도구.
• 프로세스, 서비스, 네트워크, 커널 내부 등을 다룹니다 - 로컬 또는 WinSysServer를 통한 네트워크로 사용 가능합니다.

⚠️ 이 프로젝트의 일부는 AI 지원으로 바이브 코딩되었기 때문에 버그가 있을 수 있습니다. 커널 드라이버(KWinSys)는 연구 목적으로만 테스트 VM에 설치해야 합니다.

스크린샷

프로세스 (커널 모드)

프로세스 (사용자 모드)	ETW 세션	커널 콜백
커널 풀	심볼	필터

아키텍처

기능

사용자 모드 (드라이버 불필요)

커널 모드 (KWinSys 필요)

프로세스 분석 (우클릭 > 프로세스 분석)

프로세스 컨텍스트 메뉴에서 접근할 수 있는 프로세스별 보안 분석.

빌드

요구 사항: Visual Studio 2022, Windows SDK 10.0.26100.0+, WDK (KWinSys용)

NtWarden.sln
├── NtWarden/          # GUI app
├── WinSys/            # Core library (static lib)
├── KWinSys/           # Kernel driver
└── WinSysServer/      # Remote server

1. Visual Studio에서 NtWarden.sln을 엽니다.
2. Release | x64로 빌드합니다.
3. 출력물은 x64/Release/에 생성됩니다.

드라이버 설정

KWinSys는 테스트 서명 또는 유효한 서명이 필요합니다.

# Enable test signing (reboot required)
bcdedit /set testsigning on

# On VMs you may also need
bcdedit /set nointegritychecks on

NtWarden을 관리자로 실행하세요. 커널 모드 탭으로 전환하면 드라이버가 아직 로드되지 않은 경우 자동으로 설치되고 시작됩니다. 드라이버 메뉴에서 수동으로 관리할 수도 있습니다.

원격 검사

WinSysServer는 대상 머신(보통 VM)에서 실행되며 TCP로 시스템 데이터를 제공합니다. NtWarden에서 원격 > 연결로 연결하세요.

대상에 복사할 파일

사용자 모드 기능(프로세스, 서비스, 네트워크)은 드라이버 없이 동작합니다. 커널 탭은 대상에 KWinSys가 로드되어 있어야 합니다.

서버 실행

# Auto-install driver + start server (run elevated)
WinSysServer.exe --install              # default port 50002
WinSysServer.exe --install --port 9000  # custom port

# Or install the driver yourself first
sc create KWinSys type= kernel binPath= "C:\path\to\KWinSys.sys"
sc start KWinSys
WinSysServer.exe [--port <port>]        # default: 50002

NtWarden에서 연결

1. NtWarden을 실행합니다.
2. 원격 > 대상 IP와 포트 입력 > 연결

프로토콜

TCP 기반의 사용자 지정 바이너리 프로토콜. 12바이트 헤더 (MessageType, DataSize, Status). 인증 없음 - 격리된 랩/VM 환경에서만 사용하세요.

테스트 환경

• Windows 11 23H2 (Build 22631.6199)
• Windows 10 22H2 (Build 19045.2006)
• Windows 10 1703 (Build 15063.13)

크레딧

• zodiacon - 이 프로젝트의 주요 영감
• WinArk - 커널 모드 기능의 참고 자료

라이선스

MIT - LICENSE 참조.