怎么使用CFB对Windows驱动程序进行模糊测试
发布时间：2022-06-24 12:33:51 所属栏目：安全 来源：互联网
导读：关于CFB CFB，全名为Canadian Furious Beaver，是一款功能强大的Windows驱动程序模糊测试工具，该工具可以帮助广大研究人员监控Windows驱动程序中的IRP处理器，并对Windows驱动程序漏洞进行分析、复现和模糊测试。 CFB本质上是一款分布式工具，可以捕捉发送
|
关于CFB CFB，全名为Canadian Furious Beaver，是一款功能强大的Windows驱动程序模糊测试工具，该工具可以帮助广大研究人员监控Windows驱动程序中的IRP处理器，并对Windows驱动程序漏洞进行分析、复现和模糊测试。 CFB本质上是一款分布式工具，可以捕捉发送给任何Windows驱动程序的IRP。它主要由两部分组成： (1) 该工具的“Broker”(代理)结合了用户端代理和一个能将自己安装到目标系统上的自提取驱动程序(IrpDumper.sys)。运行之后，它将暴露(取决于编译选项)远程命名管道(可从target.ip.addresspipecfb访问)或侦听TCP/1337的TCP端口。该工具所实现的通信协议设计简单，允许任何第三方工具轻松地(通过简单的JSON消息)从同一个代理转储驱动程序IRP。 (2) CFB的GUI是一个采用ProcMon风格的Windows 10 UWP应用程序：它将连接到代理所在的任何位置，并提供一个方便的GUI来操作代理(驱动程序枚举、钩子和IRP捕获)。它还提供了伪造/重放IRP、自动模糊测试(即对捕获的每个IRP采用特定的模糊策略)或以各种格式提取IRP，方便研究人员进行深入分析。捕获的数据可以以易于解析的格式(*.cfb=SQLite)保存在磁盘上，以便进一步分析，或随后在GUI中重新加载。 尽管GUI显然需要Windows 10环境(UWP应用程序)中使用，但代理本身可以部署在任何Windows 7+主机(x86或x64)上。目标主机必须启用testsigning BCD策略，因为自解压驱动程序不支持WHQL。 工具构建 (1) GUI 首先，我们需要使用下列命令将该项目源码克隆至本地： 复制 git clone https://github.com/hugsy/CFB.git 1. 接下来，使用Visual Studio构建项目根目录中的CFB.sln代理解决方案。除此之外，我们还可以通过构建GUI(Unicersal Windows)项目来构建App GUI。 (2) 命令行 首先，我们需要使用下列命令将该项目源码克隆至本地： 复制 git clone https://github.com/hugsy/CFB.git 1. 然后通过VS命令行终端运行下列命令： 复制 C:cfb> msbuild CFB.sln /p:Configuration=$Conf 1. 其中的$Conf可以设置为Releases或Debug。 工具安装&配置 在Windows 7+设备上(推荐使用Windows 10 SDK VM)，启用BCD测试签名选项(以管理员权限启动cmd.exe)： 复制 C:> bcdedit.exe /set {whatever-profile} testsigning on 1. 如果使用了调试模式，IrpDumper.sys将提供更多的详细信息。我们可以通过DebugView.exe之类的工具或WinDbg之类的内核调试器来查看全部的相关信息。此时，我们必须启用内核调试BCD选项(以管理员权限启动cmd.exe)： 复制 C:> bcdedit.exe /set {whatever-profile} debug on （编辑：应用网_丽江站长网） 【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容! |
浙公网安备 33038102330468号