The Kernel-Bridge Framework

Добрый день форумчанам!
Пишу фреймворк на C++ для свободной работы в Ring0 и исследования памяти ядра и процессов.
Представляет собой готовый драйвер с заготовками для лёгкого добавления своих обработчиков и файловых фильтров; API, не привязанный к проекту, и который можно использовать в сторонних самописных драйверах, а также юзермодная библиотека с обёртками над всем функционалом.

Из основных возможностей:

• Гипервизор (AMD-V/RVI)
• Работа с портами ввода-вывода, проброс в юзермод через IOPL
• Работа с памятью (физической и виртуальной, юзермодной и ядерной) - аллокации/чтение/запись/маппинг
• MSR
• Создание ядерных и юзермодных потоков
• Доставка APC из ядра
• Загрузка неподписанных драйверов (без поддержки SEH)
• Отправка ядерных каллбэков в юзермод (Ob*** и Ps***)
• Юзермодный файловый фильтр (Create/Read/Write/DeviceIoControl)
• Исполнение произвольного кода в Ring0 из юзермодной памяти, поддержка SMEP
• Парсер PE-файлов
• Парсер PDB
• Сканер сигнатур из ядра
• Работа с Mdl из юзермода
• Биндинг для питона

В планах:

• GUI-платформа для рантайм-анализа памяти, дампов, модификации системных данных
• Скриптовый движок на питоне для прототипирования и выполнения произвольного кода в ядре
• Интеграция с AsmJIT
• Библиотека для инжектов и перехватов функций
• Простой гипервизор для обхода PatchGuard и фильтрации сисколлов
• Документация, до которой никак не дойдут руки
• Страничка для проекта либо на github.io, либо на отдельном хостинге
• Пройти HLK, если драйвер такого типа вообще может его пройти

Примеры использования:

• Здесь: https://habr.com/post/429198/
• И здесь: https://www.unknowncheats.me/forum/anti-cheat-bypass/295416-kernel-bridge-framework.html

И, наконец, репозиторий, где можно скачать подписанные бинарники:

• https://github.com/HoShiMin/Kernel-Bridge

К свободному участию в проекте приглашаются все желающие - фронт работ ещё большой, и будут полезны программисты всех специальностей - от системщиков до веб-дизайнеров.

P.S.: Всего неделю назад узнал про аналогичный проект - Google Rekall. Что, однако, не отменяет моих планов!
P.P.S.: Mikl___ , не серчай за даблпостинг, здесь ошибся с разделом, этот более подходящий (и более живой).

 

интересный проект. и на каких выньках пашет?

в твоем желание сделать отдельный проект есть, конечно, серьёзный изъян == много прогеров скорей примкнут к хухлю, чем к тебе. у тебя должна быть особая фича в проекте.

 

Пашет на Win7..Win10. В планах есть поддержка ХР, но не в приоритете.

А что до Rekall'a, он всё же отличается и от Blackbone (тоже "конкурент"), и от кб. В каждом есть свои фичи, которых нет у других. У меня, например, юзермодные фильтры и, видимо, самый обширный набор функций для работы с памятью. И банальная простота: скачал, подключил хедеры и юзай. Rekall же гвоздями приколочен к своему амплуа standalone-инструмента.

 

А при помощи этого фреймворка можно посниффать, что, драйвер отправляет/получает по шине FireWire?

 

Нельзя

Давно уже нет - все его способы инжекта давно палятся всеми античитами, как и сам он давно во всех чёрных списках. Сейчас читеры пишут свои драйвера "под ключ", загружая через win64ast (или через турлу), обходы через DMA. Кое-кто пишет свои гипервизоры. И всё в привате, ибо паблик = моментальный блэклист.

 

А ссылка и так в шапке

 

ну, что (если сохранишь банальную простоту) это (пожалуй) может стать очень важным аргументом для разгона твоего проекта.

главное, что код открытый, тч годное можно выдернуть на свои нужды.

вот на сие точно забей поддержка андроида иль линя будут гораздо актуальней

 

HoShiMin,

> MmSecureVirtualMemory

Вы должны знать что это кривая реализация. Она защищает лишь от удаления, но не от смены аттр.

> Иногда возникает вопрос

Верно всё, я просто завис на своих идеях. У меня свет клином сошёлся на протекторах и крипторах.

 

а, кстати, где сейчас IceStudent?

 

Да, есть такое. В основном, в работе с юзермодными буферами при передаче их по указателю. Где имело смысл, защитил память, поставил проверки, но кое-где - действительно - полагаюсь на то, что пользователь передал валидную память. Решил, что в таких случаях пока лучше положиться на try..except, а потом, при необходимости, в нужных местах добавлять проверки и валидацию.
А с другой стороны, в конкретно этом примере с strlen - как мы можем быть уверены, что передали валидную строку? strlen_s не гарантирует, что не случится PageFault. Передавать длину извне? Тоже не можем полагаться на эти данные. И, честно говоря, я не вижу гарантированно надёжного способа работать с пользовательскими данными.

Сделаю поддержку в км, когда напишу км-контейнеры, типа сетов, векторов и мап. Хочется перенести юзермодный модуль в ядро без изменений интерфейса.

Сделаю вики-страничку на гитхабе, когда закончу питоновский биндинг

В планах есть, но отложил на потом - слишком долго писать настолько всеобъемлющие тесты. Закончить бы основной функционал, там ещё делать и делать...

Страшно представить, сколько времени он его писал...

А как же AddSecureMemoryCacheCallback? Сам её не пробовал, но, судя по докам, каллбэк вызывается также при изменении атрибутов (и нет указания, что только при изменении в сторону уменьшения прав)

 

ковырялка ядра по-определению надёжной быть не может это дэв-режим со всеми сопутствующими траблами

 

И ещё приходится держать баланс между надёжностью и скоростью разработки, иначе можно погрязнуть в простынях проверок)

--- Сообщение объединено, 19 ноя 2018 ---

Как увидел Rekall - тоже появилась шальная мысль написать аналог под линь, но в лине хотя бы нет проблем с драйверами, всегда можно накидать простенький драйвер в 20 строчек и заinsmod'ить.
А в сторону андроида даже не смотрел, хотя идея интересная)

 

HoShiMin, кстати, самый сок, когда ковырялка пашет под виртой, а юм панелька управления на хосте. + дамп пишется на хост. Тогда можно рестартить вирту с бэкап дампом.

 

Хммм, допустим: на виртуалке драйвер и юзермодный прокси, отвечающий за загрузку-выгрузку и общение с хостовой машинкой. Это можно.

 

да, акь сказать == проприетарные модули идут без исходников порой, тч надобность ковырялок и в лине начинает быть актуальной

 

Извините, а что есть турла?)

 

https://github.com/hfiref0x/TDL

 

Тупой инжект через хуки до сих пор работает почти везде, ибо если его заблочить, то сразу отвалится куча всяких фрапсов, плееров, и прочего)

--- Сообщение объединено, 20 ноя 2018 ---

thx