狂野海狸(Irpinator)：Windows驱动IRP捕获神器

项目简介

狂野海狸(CFB) 是一个分布式工具，专为监控和分析Windows驱动程序发送的IRP（Input Request Packets）而设计。它分为两个主要部分：Broker 和 GUI。该工具提供了一种创新的方式来捕捉、分析甚至重播IRP，对于系统开发者、安全研究人员以及任何需要深入了解系统底层操作的人员来说，这是一个不可多得的资源。

技术剖析

Broker 由用户态代理和自我提取的驱动程序（IrpDumper.sys）组成。在目标系统上运行后，它可以暴露远程命名管道或TCP端口，供其他工具进行数据交互。通信协议简单明了，允许第三方工具轻松地从同一Broker获取IRP信息。

GUI 是一款采用Windows 10 UWP界面设计的应用，与Broker连接，提供方便的图形化界面来管理驱动程序，捕获和查看IRP。此外，还支持IRP伪造和重放、自动模糊测试以及多种格式的数据导出功能。

应用场景

• 驱动开发调试：在编写或修改驱动时，CFB能帮助开发者实时了解IRP的流向。
• 安全研究：安全专家可以利用它来发现潜在的系统问题，例如通过检查异常的IRP行为。
• 性能优化：通过对IRP的详细分析，可以找出可能导致系统性能瓶颈的环节。

项目特点

1. 跨平台部署：虽然GUI要求Windows 10环境，但Broker可以在Windows 7及更高版本的x86或x64平台上部署。
2. 低干扰性：IrpDumper.sys 使用中间层技术作为中间人，透明地捕获并转发IRP，不会影响正常的驱动执行。
3. 强大功能：GUI提供了详细的IRP元数据视图，可即时重播IRP，支持自动模糊测试，并能将数据导出为多种格式。
4. 易于集成：简单的通讯协议使得集成到现有工作流程中变得容易，第三-party工具可以直接与Broker进行交互。

屏幕快照

捕获的IRP视图

IRP详细信息

IRP重播

开始使用

要构建并使用CFB，请首先确保目标机器已启用BCD测试签名模式，然后按照项目文档中的说明进行设置和编译。想要了解更多关于命令行客户端的信息，可以访问CFB-cli仓库。

狂野海狸以其强大的功能和直观的用户体验，成为了Windows驱动IRP分析领域的有力工具。无论你是开发人员还是安全研究员，这个开源项目都能帮助你更好地理解和控制系统的底层运作。现在就加入，体验它带来的便利和乐趣吧！