CFB

Что это?

[!CAUTION] CFB предназначен для исследований и отладки, его никогда не следует использовать на производственных системах. Также может произойти BSoD. Вы предупреждены.

Canadian Furious Beaver — это инструмент в стиле ProcMon, предназначенный только для захвата IRP, отправляемых любому драйверу Windows. Он работает в двух частях:

1. «Брокер» объединяет как пользовательский агент, так и самораспаковывающийся драйвер (IrpMonitor.sys), который установится на целевой системе. После установки драйвера брокер откроет прослушивающий TCP-порт (по умолчанию TCP/1337) и начнёт собирать IRP от перехваченных драйверов. Протокол связи был намеренно сделан простым (т.е. небезопасным), чтобы любой сторонний инструмент мог легко выгружать IRP драйвера из того же брокера (через простые JSON-сообщения).

2. клиенты могут подключаться к брокеру и получать IRP в виде JSON-сообщения, что упрощает просмотр или преобразование в другой формат.

3. IRP (метаданные, входные/выходные буферы) могут сохраняться в файл на диске в формате JSON для удобства дальнейшей автоматизации.

[!WARNING] Хотя драйвер CFB (IrpMonitor.sys) не должен нарушать PatchGuard, он тем не менее является только самоподписанным, поэтому требует включения TestSigning в BCD.

Почему такое название?

Потому что у меня не было идей для названия этого инструмента, поэтому оно было любезно сгенерировано моим скриптом.

Благодарности

• processhacker за их phnt заголовочные файлы
• nlohmann за их json библиотеку