关于Kdrill
Kdrill是一款用于分析 Windows 64b 系统内核空间安全的工具，该工具基于纯Python 3开发，旨在帮助广大研究人员评估Windows内核是否受到了rootkit攻击。
需要注意的是，该项目与Python2/3兼容，无其他依赖组件，无需 Microsoft 符号或网络连接即可执行安全检查。KDrill 还可以分析完整崩溃转储和内核崩溃转储（主要存储在 中C:\Windows\MEMORY.DMP）、完整原始内存转储和 AFF4 转储的压缩版本（zip，但不是压缩的）。
功能介绍
Kdrill可以访问物理内存并解码/重建操作系统内部结构来探索它们并验证它们的完整性，并能够执行以下检查：
1、已加载模块列表
2、内存代码中的驱动程序
3、内核对象和内部 ntoskrnl 列表的回调
4、即插即用树和过滤器
5、内核类型回调
6、FltMgr 回调
7、KTimers DPC 函数
8、IRP 驱动程序表
9、驱动程序使用回调签名全局变量
10、NDIS 筛选器和回调NDIS filters and callbacks
11、NetIO/FwpkCLNT 过滤调度
12、设备及其附加的设备对象
13、IDT 条目
14、PatchGuard 初始化和状态
工具要求
Python 3
工具安装
由于该工具基于Python 3开发，因此我们首先需要在本地设备上安装并配置好最新版本的Python 3环境。
接下来，广大研究人员可以直接使用下列命令将该项目源码克隆至本地：
git clone https://github.com/ExaTrack/Kdrill.git
Rootkit示例
Winnti
Winnti替换了 TCPIP 的 NDIS 回调中的函数指针。使用以下cndis命令我们可以识别它：
#>> cndis
[*] Checking NDIS Firewall layers
[*] List from fffffa80033d3d70
Driver : pacer.sys
GUID : {B5F4D659-7DAA-4565-8E41-BE220ED60542}
Description : QoS Packet Scheduler
Driver : wfplwf.sys
GUID : {B70D6460-3635-4D42-B866-B8AB1A24454C}
Description : WFP LightWeight Filter
[*] Checking NDIS Protocol layers
[*] List from fffffa8002a71a60
Name : NDIS6FW
Callback fffff88003329e50 -> c:\users\toto\appdata\local\temp\tmp1ec3.tmp (not in white list) SUSPICIOUS
Callback fffff88003329e50 -> c:\users\toto\appdata\local\temp\tmp1ec3.tmp (not in white list) SUSPICIOUS
[...]
Name : NDISWAN
Name : WANARPV6
Name : WANARP
Name : TCPIP6TUNNEL
Name : TCPIPTUNNEL
Name : TCPIP6
Name : TCPIP
Callback fffff8800332a660 -> c:\users\toto\appdata\local\temp\tmp1ec3.tmp (not in white list) SUSPICIOUS
Callback fffff8800332a810 -> c:\users\toto\appdata\local\temp\tmp1ec3.tmp (not in white list) SUSPICIOUS
Turla/Uroburos
PspCreateProcessNotifyRoutine 内部的回调：
#>> ccb [*] Checking \Callback\TcpConnectionCallbackTemp : 0xfffffa8002f38360 [*] Checking \Callback\TcpTimerStarvationCallbackTemp : 0xfffffa8004dfd640 [*] Checking \Callback\LicensingData : 0xfffffa80024bc2f0 [*] Checking \Callback\LLTDCallbackRspndr0006000006000000 : 0xfffffa80048713a0 [...] [*] PspLoadImageNotifyRoutine [*] PspCreateProcessNotifyRoutine Callback fffffa8004bc2874 -> SUSPICIOUS ***Unknown*** 48 89 5c 24 08 57 48 81 ec 30 01 00 00 48 8b fa
该rootkit还在FwpkCLNT中插入了网络IO过滤：
#>> cnetio [*] FwpkCLNT/NetIo Callouts (callbacks) : fffffa8004965000 (4790) Callback fffffa8004bd9580 -> SUSPICIOUS ***Unknown*** 48 8b c4 48 89 58 08 48 89 50 10 55 56 57 41 54 Callback fffffa8004bca6b0 -> SUSPICIOUS ***Unknown*** 33 c0 c3 cc 40 53 48 83 ec 20 48 8b 89 50 01 00
工具使用演示
列出模块（带或不带过滤器）：
#>> lm winp fffff806bd4f0000 10000 \??\C:\Kdrill\winpmem_x64.sys
显示特定地址的转储：
#>> dq nt 40 FFFFF80668000000 0000000300905A4D 0000FFFF00000004 MZ..........##.. FFFFF80668000010 00000000000000B8 0000000000000040 ........@....... FFFFF80668000020 0000000000000000 0000000000000000 ................ FFFFF80668000030 0000000000000000 0000011800000000 ................
Kdrill 嵌入了 LDE，以实现最小的 x86 反汇编。你可以使用它来查看操作码的微小细节：
#>> u nt!NtReadFile 10 > fffff806685f44d0 | 4c894c2420 | fffff806685f44d5 | 4c89442418 | fffff806685f44da | 4889542410 | fffff806685f44df | 53 | fffff806685f44e0 | 56 | fffff806685f44e1 | 57 |
显示指向地址的转储：
#>> dq poi(nt!LpcPortObjectType) FFFFAA0F7DD524E0 FFFFAA0F7DD524E0 FFFFAA0F7DD524E0 .$.}..##.$.}..## FFFFAA0F7DD524F0 0000000000140012 FFFFD5000BF7DC90 ..............## FFFFAA0F7DD52500 00000000000000F9 0000107C0000002E ............|... FFFFAA0F7DD52510 0000140B00000F31 000000000000137D 1.......}.......
您可以使用池中的引用来显示数据块Header：
#>> fpool poi(nt!LpcPortObjectType) Pool : ffffaa0f7dd52470 Tag : ObjT Size : 150 Prev Size : 0
列出对象目录对象：
#>> winobj \Callback Callback \Callback\IGD_WNICShareObj (ffffaa0f8697ae30) Callback \Callback\WdProcessNotificationCallback (ffffaa0f7ebf9d30) Callback \Callback\LLTDCallbackRspndr0006008004000000 (ffffaa0f88872c60) [...]
获取有关内存中随机对象的信息：
#>> !addr ffffaa0f7ed3fb10 Pool : ffffaa0f7ed3fac0 Tag : Devi Size : 210 Prev Size : 0 #>> !addr FFFFF80668CFB280 fffff80668cfb280 in \SystemRoot\system32\ntoskrnl.exe ntoskrnl+cfb280
获取页面的 PTE 权限：
#>> list fffff80668cfb280 FFFFF80668CFB000 rw--
列出内核内存地址和映射文件之间的关系：
#>> filecache Vacb : ffffaa0f7dde4000 ; size : 6 0xffffc186e4100000 \Windows\System32\catroot2\edb.log (9684) 0xffffc186fb4c0000 \$MapAttributeValue (320) [...]
许可证协议
本项目的开发与发布遵循BSD-3-Clause开源许可协议。
项目地址
Kdrill：【GitHub传送门】
参考资料
https://github.com/BeaEngine/lde64
https://github.com/Velocidex/WinPmem/blob/master/src/binaries/winpmem_x64.sys
4A评测 - 免责申明
本站提供的一切软件、教程和内容信息仅限用于学习和研究目的。
不得将上述内容用于商业或者非法用途，否则一切后果请用户自负。
本站信息来自网络，版权争议与本站无关。您必须在下载后的24个小时之内，从您的电脑或手机中彻底删除上述内容。
如果您喜欢该程序，请支持正版，购买注册，得到更好的正版服务。如有侵权请邮件与我们联系处理。敬请谅解！
程序来源网络，不确保不包含木马病毒等危险内容，请在确保安全的情况下或使用虚拟机使用。
侵权违规投诉邮箱：4ablog168#gmail.com（#换成@）
