eXeLab
eXeL@B ВИДЕОКУРС !

ВИДЕОКУРС ВЗЛОМ
выпущен 2 августа!


УЗНАТЬ БОЛЬШЕ >>
Домой | Статьи | RAR-cтатьи | FAQ | Форум | Скачать | Видеокурс
Новичку | Ссылки | Программирование | Интервью | Архив | Связь

Русский / Russian English / Английский

Сейчас на форуме: (+1 невидимый пользователь)
 · Начало · Статистика · Регистрация · Поиск · ПРАВИЛА ФОРУМА · Язык · RSS · SVN ·

 eXeL@B —› Софт, инструменты —› Windows Kernel Explorer - A free but powerful Windows kernel research tool
Посл.ответ Сообщение


Ранг: 650.8 (! !)
Статус: Участник
CyberMonk

Создано: 21 июля 2019 14:02 · Поправил: mak New!
Цитата · Личное сообщение · #1



Windows Kernel Explorer (you can simply call it as "WKE") is a free but powerful Windows kernel research tool. It supports from Windows XP to Windows 10 (32-bit and 64-bit). Compared to WIN64AST and PCHunter, WKE can run on the latest Windows 10 without updating binary files.

How WKE works on the latest Windows 10
WKE will automatically download required symbol files if the current system is not supported natively, 90% of the features will work after this step. For some needed data that doesn't exist in symbol files, WKE will try to retrieve them from the DAT file (when new Windows 10 releases, I will upload the newest DAT file to GitHub). If WKE cannot access the internet, 50% of the features will still work. Currently, native support is available from Windows XP to Windows 10 RS3, Windows 10 from RS4 to 19H1 are fully supported by parsing symbol files and DAT file.

How to customize WKE
You can customize WKE by editing the configuration file. Currently, you can specify the device name and symbolic link name of driver, and altitude of filter. You can also enable kernel-mode and user-mode characteristics randomization to avoid being detected by malware. If you rename the EXE file of WKE, then you need to rename SYS/DAT/INI files together with the same name.

About digital signature and negative report from Anti-Virus softwares
Because I don't have a digital certificate, I have to use the leaked digital certificate from HT SRL to sign drivers of WKE. I use "DSEFIX" as an alternative solution to bypass DSE, you can try to launch WKE with "WKE_dsefix.bat" if WKE loads driver unsuccessfully on your system. Signing files with the HT SRL digital certificate has a side effect: almost all anti-virus softwares infer files with HT SRL digital signature are viruses, because many hackers use it to sign malwares since 2015. Only idiots implant malicious code into a tool for experienced programmers and reverse engineers, because most users only use WKE in test environments, this kind of behavior is meaningless.

Main Features
Process management (Module, Thread, Handle, Memory, Window, Windows Hook, etc.)
File management (NTFS partition analysis, low-level disk access, etc.)
Registry management and HIVE file operation
Kernel-mode callback, filter, timer, NDIS blocks and WFP callout functions management
Kernel-mode hook scanning (MSR, EAT, IAT, CODE PATCH, SSDT, SSSDT, IDT, IRP, OBJECT)
User-mode hook scanning (Kernel Callback Table, EAT, IAT, CODE PATCH)
Memory editor and symbol parser (it looks like a simplified version of WINDBG)
Hide driver, hide/protect process, hide/protect/redirect file or directory, protect registry and falsify registry data
Path modification for driver, process and process module
Enable/disable some obnoxious Windows components

Link - --> Link <--

| Сообщение посчитали полезным: Gideon Vi, d745150, BlackCode, morgot, plutos, hors, difexacaw, Ahmadmansoor



Ранг: 482.5 (мудрец)
Статус: Участник
_Вечный_Студент_

Создано: 21 июля 2019 23:58 · Поправил: plutos New!
Цитата · Личное сообщение · #2

About open source

Axt Müller:
Code:
  1. It is a bit awkward, so I say straightforwardly: 
  2. I don't plan to share the source code of this tool.



Ранг: 122.1 (ветеран)
Статус: Участник

Создано: 22 июля 2019 12:32 New!
Цитата · Личное сообщение · #3

Они все как под копирку одинаковые. Каких откровений вы хотели там увидеть, плутос? Кучу оффсетов под разные венды?

| Сообщение посчитали полезным: difexacaw



Ранг: 482.5 (мудрец)
Статус: Участник
_Вечный_Студент_

Создано: 22 июля 2019 20:11 New!
Цитата · Личное сообщение · #4

Alchemistry пишет:
Они все как под копирку одинаковые


Если не трудно, выложи пожалуйста пару ссылок, но именно чтобы с исходным кодом были.
Заранее спасибо!


Ранг: 291.1 (наставник)
Статус: Участник

Создано: 22 июля 2019 20:55 New!
Цитата · Личное сообщение · #5

plutos

Чем это лучше старого доброго GMER ?

Штатный набор примитивов - таблицы обьектов, поверхность ядра. Таких тулз навалом, Alchemistry очень точно сказал.

| Сообщение посчитали полезным: plutos


Ранг: 125.6 (ветеран)
Статус: Участник

Создано: 22 июля 2019 21:09 · Поправил: VOLKOFF New!
Цитата · Личное сообщение · #6

Ну так-то это очередной "антируткит" комбайн с дровом подписанный утекшим сертом, ему уже сто лет в обед, я как-то давно тыкал его, но после бсода забил в пользу более стабильных собратьев.

С юзермодной частью все итак понятно, хотя и по ядру много есть чего покурить, даже исходники Windows Research Kernel в свободном доступе лет 8 как есть.

Например вот полезные линки по теме, плюс The Kernel-Bridge Framework и кучу подобных вещей на гите можно посмотреть (емнип есть и сырки аналогов сабжа). Тут от задач в общем-то отталкиваться надо, при большом желании все найдется

| Сообщение посчитали полезным: plutos



Ранг: 291.1 (наставник)
Статус: Участник

Создано: 22 июля 2019 21:37 New!
Цитата · Личное сообщение · #7

VOLKOFF

А почему вьюверы обьектов называют антируткитами ?

Был весьма старый проект сайд --> Link <-- - отладочный фильтр, глобальный в системе. Эти механизмы остались и в 10-ке. Так вот данный тулз этот фильтр врядле найдёт. Так как он не предназначен для обнаружения в динамике активности и статик внутренности ядра не трогает судя по всему. А обьекты(sst/gdt/etc) лучше смотреть отладчиком. Так как там есть дебаг символы и с отладчиком можно работать, в отличие от пару пунктов меню как в таких тулзах.


Ранг: 482.5 (мудрец)
Статус: Участник
_Вечный_Студент_

Создано: 22 июля 2019 22:07 New!
Цитата · Личное сообщение · #8

difexacaw пишет:
Чем это лучше старого доброго GMER

а что, GMER open source? Он у меня есть, но только в виде .exe. Искал исходники, но не нашел.

VOLKOFF пишет:
плюс The Kernel-Bridge Framework

just what the doctor ordered!!!

Ранг: 122.1 (ветеран)
Статус: Участник

Создано: 22 июля 2019 22:15 New!
Цитата · Личное сообщение · #9

plutos
https://github.com/songbei6/kerneldetective
https://github.com/gerronjo/openlibs итд

| Сообщение посчитали полезным: plutos

 eXeL@B —› Софт, инструменты —› Windows Kernel Explorer - A free but powerful Windows kernel research tool

Оригинальный DVD-ROM: eXeL@B DVD !

Вы находитесь на форуме сайта EXELAB.RU
Проект ReactOS