IRP Trace

[zss]

Здравствуйте. Нужно помониторить драйвер, а конкретно IOCTL запросы.
IRPTrace падает при попытке запуска драйвера. Есть ли что подобное, чтобы можно было посмотреть
передаваемые буферы и коды запросов (IRPTracker не падает, то не показывает буферы).

[Ochkarik]

а тип буферов какой?
https://code.google.com/p/ioctlfuzzer/
- пойдет?

[zss]

1. Обычные массивы.
2. Не пойдет, т.к. мне нужно посмотреть именно содержимое буферов

[Ochkarik]

2. Не пойдет, т.к. мне нужно посмотреть именно содержимое буферов

я так понимаю вы ее даже не запускали... это похвально))
зачем тогда спрашивать было?

для остальных ищущих - включить "hex_dump" в ioctlfuzzer.xml иначе по умолчанию показывает в лог только первые 4 слова буфера, далее запуск с настройками этого xml:
ioctlfuzzer.exe --config ioctlfuzzer.xml
PS большого хелпа и описания к сожалению не нашел, пришлось по коду настройки искать. хорошо хоть пример в xml есть - в принципе там понятно большинство.

[zss]

Да у меня она даже не запустилась

Код:

D:\TEMP\ioctl_fuzzer-1.2\bin\x64>ioctlfuzzer64.exe --config ioctlfuzzer.xml
DbgInit(): Log file 'D:\TEMP\ioctl_fuzzer-1.2\bin\x64\ioctlfuzzer.log' created
PipeServerThread(): Listening on pipe '\\.\pipe\IOCTLfuzzer'
IOCTL Fuzzer
(c) 2010 eSage Lab
www.esagelab.com
Program version: 1.2.0.0
Creating service...
Allready exists
Starting service...
StartService() ERROR 577
Error while creating/starting system service for kernel driver.
Press any key to quit...

[zss]

Есть конечно еще один способ заставить не падать IRPTrace - это отключить PatchGuard.
Но не получилось это сделать с помощью доступных в сети приложений.

Не подскажите как это можно сделать на win7 x64?

[Ochkarik]

Не подскажите как это можно сделать на win7 x64?

с этого и надо было начинать.
StartService() ERROR 577
- это ERROR_INVALID_IMAGE_HASH - Windows cannot verify the digital signature for this file. A recent hardware or software change might have installed a file that is signed incorrectly or damaged, or that might be malicious software from an unknown source.
программа не может установить неподписанный драйвер.
отключите проверку подписи драйверов. может и остальные проблемы уйдут.

Добавлено через 44 секунды:
там кстати версия 1.3 еще есть, правда там настройки немного по другому выглядят

[zss]

Сейчас попробую.
З.Ы. Я так понял, что контролируемый драйвер тоже в *.xml нужно прописать ? Просто не совсем понятно из документации...

[Ochkarik]

ну там в xml что то по умолчанию стоит, наверное стоит лишние вычеркнуть - свой вписать чтоб лишнего не видеть.

PS да. настройки я для 1.2 версии давал.

Добавлено через 3 минуты и 10 секунд:
PPS скорее всего ключ, но надо проверять. я не сильно разбирался с ней.
  <allow>
    <!-- IOCTL request destination driver name. -->
    <drivers>
    </drivers>


и вот тут что еще пишут
 Since 1.3 version IOCTL Fuzzer dumps _all_ catched IOCTLs information in text file %SystemDrive%\ioctls.log

[zss]

Отключил подпись

Код:

D:\TEMP\ioctl_fuzzer-1.3\bin>ioctlfuzzer.bat
Windows x64 detected
DbgInit(): Log file 'D:\TEMP\ioctl_fuzzer-1.3\bin\ioctlfuzzer.log' created
PipeServerThread(): Listening on pipe '\\.\pipe\IOCTLfuzzer'
[+] Changing console screen buffer height from 56 to 4096 lines
IOCTL Fuzzer
by Oleksiuk Dmytro (aka Cr4sh) :: dmitry@esagelab.com
(c) 2011 Esage Lab :: http://www.esagelab.com/
Program version: 1.3.0.0
Creating service...
OK
Starting service...
StartService() ERROR 577
Error while creating/starting system service for kernel driver.
Press any key to quit...

Нифига

[Ochkarik]

странно, у меня и на xp|32 и на 7|64 без проблем. специально проверял тока что версию 1.3. правда сразу проверку подписи выключил по загрузке через F8.
UAC только ругнулся.... антивирусы стоят?

[zss]

Стоит виндовый Essentials

[Ochkarik]

а если без него?
вы уверены что проверка подписи была отключена?

[zss]

Вроде удалось запустить. Только я прописал

Код:

  <dbgcb>
    <device val="\Device\DeviceName"><![CDATA[kb 40]]></device>
  </dbgcb>

но он все-равно валит все вызовы...

[zss]

А еще она упала в синяк

[Ochkarik]

dbgcb...?
а какой у вас отладчик ядра стоит?

Добавлено через 1 минуту и 32 секунды:
если вы через  него тогда для вас раздел \
"Using the fuzzer with  Kernel Debugger Communication Engine

"1. Before running fuzzer you need to load Kernel Debugger Communicatioin Engine extension in your remote kernel debugger by executing command ".load \path\to\ioctlfuzzer\binaries\dbgcb.dll"."
это из readme.txt

Добавлено через 5 минут и 53 секунды:
у вас такие запросы большие что в стандартный размер не влазит? почему вы сразу решили с отладчиком запускать то?
попробуйте просто в <allow> задать.