mrexodia/driver_unpacking

🧪 driver_unpacking: Giả lập kernel driver trên user-mode bằng C

Công cụ nhỏ để chạy thử driver Windows trong môi trường user-mode, hữu ích cho nghiên cứu ban đầu.

driver_unpacking là một công cụ ghetto giả lập Windows kernel driver ở không gian người dùng (user-mode). Thay vì chạy trực tiếp trên kernel, driver được chuyển đổi thành chương trình user-mode thông qua MakeUsermode, sau đó liên kết với bản giả lập ntoskrnl.exe giả. Đây là công cách hữu ích để nghiên cứu và debug driver mà không cần khởi động hệ điều hành thật.

✨ Điểm nổi bật

• MakeUsermode: công cụ chuyển đổi driver thành chương trình user-mode để dễ dàng debug.
• Giả lập ntoskrnl.exe: cung cấp giao diện giả thay thế kernel thực, giúp chạy driver trong môi trường an toàn.
• Hỗ trợ x64dbg: cho phép debug driver bằng công cụ x64dbg quen thuộc.
• Chỉ vài API: chỉ cài đặt một số API phổ biến, phù hợp cho nghiên cứu ban đầu.
• Mục đích nghiên cứu: nhằm mục đích thử nghiệm và phân tích ban đầu, không phải giải pháp đầy đủ.
• Công cụ liên quan: hỗ trợ công cụ SysShellHandler để xử lý shell.

💡 Vì sao đáng chú ý

driver_unpacking khác biệt với các công cụ giả lập kernel toàn diện như speakeasy ở chỗ nhẹ và đơn giản, phù hợp cho người mới bắt đầu nghiên cứu driver. Nó cho phép debug trực tiếp trong x64dbg — môi trường quen thuộc — thay vì phải thiết lập môi trường ảo kernel phức tạp.

Tuy nhiên, do chỉ hỗ trợ một số API hạn chế, công cụ này thích hợp cho nghiên cứu sơ cấp hoặc khám phá ban đầu về cấu trúc driver, chứ không thay thế được giải pháp chuyên nghiệp.

#KernelDriver #UserModeEmulation #x64dbg #Windows #TiniX