怎样使用CFB对Windows驱动程序开展模糊测试
发布时间：2022-02-10 10:23:13 所属栏目：安全 来源：互联网
导读：CFB，全名为Canadian Furious Beaver，是一款功能强大的Windows驱动程序模糊测试工具，该工具可以帮助广大研究人员监控Windows驱动程序中的IRP处理器，并对Windows驱动程序漏洞进行分析、复现和模糊测试。 CFB本质上是一款分布式工具，可以捕捉发送给任何Win
|
CFB，全名为Canadian Furious Beaver，是一款功能强大的Windows驱动程序模糊测试工具，该工具可以帮助广大研究人员监控Windows驱动程序中的IRP处理器，并对Windows驱动程序漏洞进行分析、复现和模糊测试。 CFB本质上是一款分布式工具，可以捕捉发送给任何Windows驱动程序的IRP。它主要由两部分组成：(1) 该工具的“Broker”(代理)结合了用户端代理和一个能将自己安装到目标系统上的自提取驱动程序(IrpDumper.sys)。运行之后，它将暴露(取决于编译选项)远程命名管道(可从target.ip.addresspipecfb访问)或侦听TCP/1337的TCP端口。该工具所实现的通信协议设计简单，允许任何第三方工具轻松地(通过简单的JSON消息)从同一个代理转储驱动程序IRP。(2) CFB的GUI是一个采用ProcMon风格的Windows 10 UWP应用程序：它将连接到代理所在的任何位置，并提供一个方便的GUI来操作代理(驱动程序枚举、钩子和IRP捕获)。它还提供了伪造/重放IRP、自动模糊测试(即对捕获的每个IRP采用特定的模糊策略)或以各种格式提取IRP，方便研究人员进行深入分析。捕获的数据可以以易于解析的格式(*.cfb=SQLite)保存在磁盘上，以便进一步分析，或随后在GUI中重新加载。尽管GUI显然需要Windows 10环境(UWP应用程序)中使用，但代理本身可以部署在任何Windows 7+主机(x86或x64)上。目标主机必须启用testsigning BCD策略，因为自解压驱动程序不支持WHQL。 机制分析；IrpDumper.sys是CFB Broker代理的驱动程序部分，它将在启动时自动提取和安装。驱动程序将负责通过代理传递的IOCTL挂接请求挂接到驱动程序的IRP主功能表。成功后，驱动程序的IRP表将指向IrpDumper.sys拦截程序，我们也可以轻松通过调试器或WinObjEx64之类的工具查看到相关信息。IrpDumper.sys本身可以充当一个rootkit，并代理所有对目标驱动程序的调用。当DeviceIoControl被发送给挂钩的驱动程序时，IrpDumper只需捕获数据(如果有)，并将消息推送到用户端代理，然后将执行返回给合法的驱动程序，从而允许预期的代码按预期继续执行。代理会将所有这些数据存储在用户区域中，等待事件去请求它们。 （编辑：东莞站长网） 【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容! |
站长推荐