NtWARden

Инструментарий для анализа и исследования Windows

• Инструмент для инспекции системы Windows, построенный на ImGui + DirectX 11.
• Охватывает процессы, службы, сеть, внутреннее устройство ядра и многое другое — локально или по сети через WinSysServer.

⚠️ Часть этого проекта была написана с помощью ИИ в стиле «vibe coding», поэтому в нём могут быть баги. Драйвер ядра (KWinSys) следует устанавливать только в тестовой ВМ в исследовательских целях.

Скриншоты

Процессы (режим ядра)

Процессы (пользовательский режим)	Сеансы ETW	Колбэки ядра
Пул ядра	Символы	Фильтры

Архитектура

Возможности

Пользовательский режим (драйвер не требуется)

Режим ядра (требуется KWinSys)

Анализ процесса (правый клик > Analyze Process)

Анализ безопасности каждого процесса, доступный из контекстного меню процесса.

Сборка

Требования: Visual Studio 2022, Windows SDK 10.0.26100.0+, WDK (для KWinSys)

NtWarden.sln
├── NtWarden/          # GUI app
├── WinSys/            # Core library (static lib)
├── KWinSys/           # Kernel driver
└── WinSysServer/      # Remote server

1. Откройте NtWarden.sln в Visual Studio
2. Выполните сборку Release | x64
3. Результат появится в x64/Release/

Настройка драйвера

KWinSys требует тестовую подпись (test signing) или действующую подпись.

# Enable test signing (reboot required)
bcdedit /set testsigning on

# On VMs you may also need
bcdedit /set nointegritychecks on

Запускайте NtWarden от имени администратора. Переход на вкладку режима ядра автоматически установит и запустит драйвер, если он ещё не загружен. Также можно управлять им вручную из меню Driver.

Удалённая инспекция

WinSysServer запускается на целевой машине (обычно ВМ) и отдаёт системные данные по TCP. Подключение из NtWarden через Remote > Connect.

Что скопировать на целевую машину

Всё, что в пользовательском режиме (процессы, службы, сеть), работает и без драйвера. Для вкладок ядра требуется загрузка KWinSys на целевой машине.

Запуск сервера

# Auto-install driver + start server (run elevated)
WinSysServer.exe --install              # default port 50002
WinSysServer.exe --install --port 9000  # custom port

# Or install the driver yourself first
sc create KWinSys type= kernel binPath= "C:\path\to\KWinSys.sys"
sc start KWinSys
WinSysServer.exe [--port <port>]        # default: 50002

Подключение из NtWarden

1. Запустите NtWarden
2. Remote > укажите IP и порт целевой машины > Connect

Протокол

Собственный бинарный протокол поверх TCP. 12-байтовый заголовок (MessageType, DataSize, Status). Без аутентификации — использовать только в изолированных лабораторных/VM-средах.

Протестировано на

• Windows 11 23H2 (Build 22631.6199)
• Windows 10 22H2 (Build 19045.2006)
• Windows 10 1703 (Build 15063.13)

Благодарности

• zodiacon — Основной источник вдохновения для проекта
• WinArk — Справочник по функциям режима ядра

Лицензия

MIT — см. LICENSE.