akatorich/kernelflirtDepurador em nível de kernel do Windows com interface estilo OllyDbg/IDA, breakpoints de software e hardware, símbolos PDB, descompilador e 17 plugins para engenharia reversa e análise de malware em VMs.
Depurador em nível de kernel do Windows com interface no estilo OllyDbg/IDA Pro. Projetado para pesquisa de segurança, engenharia reversa e análise de malware em ambientes de VM (VMware).
Host machine VM (Windows 10, testsigning)
┌──────────────────┐ TCP:31337 ┌──────────────────┐ IOCTL ┌──────────────────┐
│ KernelFlirt UI │◄───────────────►│ KfRelay.exe │◄──────────────►│ KernelFlirt.sys │
│ (WPF / .NET 9) │ CMD+DBG ch. │ (TCP proxy) │ DeviceIoCtl │ (WDM Driver) │
└──────────────────┘ └──────────────────┘ └──────────────────┘
┌──────────────────┐ SCM API
│ KfLoader.exe │──────────────────────┘
│ (C / Console) │ load / unload / status
└──────────────────┘
| Componente | Linguagem | Descrição |
|---|---|---|
| KernelFlirt.UI | C# / WPF | Interface do depurador (executa no host) |
| KernelFlirt.sys | C / WDM | Driver de kernel — memória, breakpoints, hook inline KdTrap |
| KfRelay.exe | C | Relay TCP na VM, faz proxy de IOCTLs pela rede |
| KfLoader.exe | C | CLI para carregar/descarregar o driver via SCM |
| KfConsole.exe | C# / .NET 9 | Depurador de console — REPL no estilo WinDbg/x64dbg sobre o mesmo driver |
| KernelFlirt.SDK | C# / .NET 9 | SDK de plugins — API completa do depurador para extensões |
:: VM — load driver and start relay
KfLoader.exe load
KfRelay.exe
:: Host — launch the UI and connect
KernelFlirt.exe → Connect → VM IP
Depuração de driver de kernel: abra a aba Kernel Modules, encontre seu driver, defina breakpoints em qualquer função — modo usuário e modo kernel.
Não precisa da UI WPF? O KfConsole.exe (em bin\Console\) é um REPL no estilo WinDbg/x64dbg
sobre o mesmo driver e relay.
kf> connect 10.100.102.6:31337
✓ connected (10.100.102.6:31337), driver v0x10000
kf*> open C:\Temp\target.exe
✓ created PID=8424 TID=10136 ImageBase=00007FF7`2EA10000 (x64)
symbols: 3/4 modules loaded
kf(8424:10136/x64/brk)> bp ntdll!NtCreateFile if rcx!=0
✓ bp [1] 00007FFF`BBF8E030 ntdll!NtCreateFile if rcx!=0
kf(8424:10136/x64/brk)> g
*** BP at 00007FFF`BBF8E030 ntdll!NtCreateFile
kf(8424:10136/x64/brk)> u rip 5
► 00007FFF`BBF8E030 4c 8b d1 mov r10, rcx ntdll!NtCreateFile
Destaques: alvos x64 + WoW64 (x86), resolução de símbolos PDB via Microsoft Symbol Server,
avaliador de expressões (rsp+8, [rsp], module!func), breakpoints condicionais,
Step Into / Step Over / Step Out, primitivas anti-debug, saída colorida ANSI,
readline com histórico persistente.
Referência completa de comandos: docs/cli.md
??)RegisterFunction9 temas integrados (default-dark, x64dbg, monokai, ollydbg, ollydbg-light, ida-pro, dracula, long_night, sakura) com troca em tempo de execução e mais de 100 chaves de cores personalizáveis.
| Plugin | Descrição |
|---|---|
| Graph View | CFG estilo IDA com coloração de blocos, recolher/expandir, navegação de funções |
| Xrefs | Referências cruzadas — encontre todos os chamadores/referências para qualquer endereço |
| FLIRT Signatures | Reconhecimento de funções por padrões de bytes (.pat + MSVC CRT integrado) |
| Signature Detector | Detecção de packer/compilador compatível com PEiD (4445 assinaturas) |
| PE Rebuilder | Dumper de PE com reconstrução de IAT (estilo Scylla) |
| String Decryptor | Descriptografia automatizada de strings |
| VulnHunter | Scanner de uso de APIs perigosas |
| Plugin | Descrição |
|---|---|
| API Monitor | Interceptação de API em tempo real com logging de parâmetros |
| Network Monitor | Captura de tráfego de rede (send/recv/connect) com exportação CSV |
| Memory Scanner | Escaneamento de valores com filtragem subsequente |
| Themida Unpacker | Desempacotador automatizado de Themida/WinLicense |
| Plugin | Descrição |
|---|---|
| C# Scripting | REPL Roslyn com API completa do depurador, realce de sintaxe, estado persistente |
| AI Assistant | Assistente de engenharia reversa (compatível com OpenAI) com mais de 65 ferramentas de depuração |
| MCP Server | Model Context Protocol — conecte clientes de IA (Claude Code, Cursor) ao depurador |
| Session Manager | Salvar/carregar sessão (breakpoints, comentários, nomes de funções) com rebase de ASLR |
| Bookmarks/Notes | Bookmarks de endereços com anotações, persistidos entre sessões |
| Anti-Debug Bypass | Aplicação automática de patches em PEB/DebugPort/ThreadHide/HeapFlags |
Todos os plugins compartilham um SDK comum com acesso a memória, breakpoints, símbolos, UI, eventos, controle de execução e comunicação entre plugins.
| Tecla | Ação |
|---|---|
| F2 | Alternar breakpoint |
| F4 | Executar até o cursor |
| F5 / F9 | Continuar / Executar |
| F7 | Step into |
| F8 | Step over |
| Ctrl+F9 | Step out |
| F12 | Pausar |
| Space | Assembler inline |
| Ctrl+G | Ir para endereço |
| Ctrl+F | Busca binária |
| F11 | Tela cheia |
| Shift+F5 | Executar script |
| Documento | EN | RU |
|---|---|---|
| SDK & Plugin Development | SDK-en.md | SDK-ru.md |
| C# Scripting Reference | scripting-reference-en.md | scripting-reference-ru.md |
| CLI (KfConsole) | cli.md | — |
| Changelog | CHANGELOG.md |