介绍RPC Investigator - The Trail of Bits博客
背景
微软远程过程调用（MSRPC）是一种普遍的通信机制，为定义服务器/客户端接口提供了可扩展框架。MSRPC在几乎每个Windows系统活动中都有涉及，从登录笔记本电脑到打开文件。正因如此，几十年来它一直是防御和进攻性信息安全社区的热门研究目标。
几年前，开源.NET库NtApiDotNet的开发者James Foreshaw更新了他的库，增加了反编译、构建客户端以及与任意RPC服务器交互的功能。在一篇优秀的博客文章中，他重点介绍了通过PowerShell脚本和cmdlet使用新的NtApiDotNet功能，还包括了一小部分关于如何使用PowerShell脚本为给定RPC服务器生成C#客户端代码，并将该代码编译成C#应用程序的内容。
我们在开发RPC Investigator（RPCI）时基于这一概念，这是一个.NET/C# Windows Forms UI应用程序，为NtApiDotNet平台的现有核心RPC功能提供了可视化界面：
- 枚举所有活动的ALPC RPC服务器
- 从任何PE文件解析RPC服务器
- 从进程及其加载的模块（包括服务）解析RPC服务器
- 集成符号服务器
- 将服务器定义导出为序列化的.NET对象以供自己的脚本使用
除了可视化这些核心功能外，RPCI还提供了额外功能：
- 客户端工作台允许您通过右键单击感兴趣的RPC服务器来动态创建和执行RPC客户端二进制文件。工作台有一个C#代码编辑器窗格，允许您实时编辑客户端并观察代码中执行的RPC过程的结果。
- 发现的RPC服务器被组织到一个具有可定制搜索界面的库中，允许您以有用的方式透视RPC服务器数据，例如通过搜索所有服务器的所有RPC过程来寻找有趣的例程。
- RPC嗅探器工具增加了对RPC相关的Windows事件跟踪（ETW）数据的可见性，提供近乎实时的活动RPC调用视图。通过将ETW数据与来自NtApiDotNet的RPC服务器数据结合，我们可以更全面地了解正在进行的RPC活动。
功能
免责声明： 在与系统服务交互时请务必小心。如果RPCI使用不当，可能会损坏系统状态或导致系统崩溃。
先决条件和系统要求
目前，RPCI需要以下条件：
- Windows操作系统
- .NET Framework 4.8或更新版本
- 安装了Windows调试工具组件的Windows SDK
- 管理员访问权限
默认情况下，RPCI会自动发现Windows调试工具的安装目录，并配置自身使用公共Windows符号服务器。您可以通过单击“编辑”->“设置”来修改这些设置。在设置对话框中，您可以指定调试工具DLL（dbghelp.dll）的路径，并根据需要自定义符号服务器和本地符号目录（例如，您可以指定路径srv*c:\symbols*https://msdl.microsoft.com/download/symbols）。
如果您想观察写入RPCI日志的调试输出，请在设置窗口中设置适当的跟踪级别。RPCI日志和所有其他相关文件写入当前用户的应用程序数据文件夹，通常是C:\Users\(user)\AppData\Roaming\RpcInvestigator。要查看此文件夹，只需导航到“查看”->“日志”。但是，我们建议禁用跟踪以提高性能。
需要注意的是，RPCI的位数必须与系统匹配：如果在64位系统上运行32位RPCI，则只能访问托管在32位进程或二进制文件中的RPC服务器（很可能没有）。
搜索RPC服务器
您首先要做的是查找系统上运行的RPC服务器。最直接的方法是查询RPC端点映射器，这是操作系统提供的持久服务。由于大多数本地RPC服务器实际上是ALPC服务器，因此此查询通过“文件”->“所有RPC ALPC服务器…”菜单项公开。
发现的服务器根据托管进程列在表格视图中，如上图所示。此表格视图是在RPCI中导航RPC服务器的起点之一。双击特定服务器将打开另一个选项卡，列出所有端点及其相应的接口ID。双击端点将打开另一个选项卡，列出可以在该端点接口上调用的所有过程。右键单击端点将打开上下文菜单，提供其他有用的快捷方式，其中之一是创建新客户端以连接到此端点的接口。我们将在后续部分描述该功能。
您可以通过解析服务器的映像来查找其他未运行（或非ALPC）的RPC服务器，方法是选择“文件”->“从二进制文件加载…”并定位磁盘上的映像，或选择“文件”->“从服务加载…”并选择感兴趣的服务（这将解析服务进程中加载的所有模块中的所有服务器）。
探索库
导航RPC服务器的另一个起点是加载库视图。库是一个文件，包含您在使用RPCI时发现的每个RPC服务器的序列化.NET对象。只需选择菜单项“库”->“服务器”以查看所有发现的RPC服务器，以及“库”->“过程”以查看所有服务器接口的所有发现过程。两个菜单项都会在新选项卡中打开。要在任一选项卡中执行快速关键字搜索，只需右键单击任何行并在文本框中键入搜索词。下面的屏幕截图显示了对“()”的关键字搜索，以快速查看具有零参数的过程，这些是试验接口的有用起点。
第一次运行RPCI时，需要初始化库。为此，导航到“库”->“刷新”，RPCI将尝试从所有具有注册ALPC服务器的进程加载的所有模块中解析RPC服务器。请注意，此过程可能需要相当长的时间并使用几百兆字节的内存；这是因为有数千个这样的模块，并且在此过程中二进制文件被重新映射到内存中，并咨询公共Microsoft符号服务器。更糟糕的是，Dbghelp API是单线程的，我怀疑Microsoft的公共符号服务器有速率限制逻辑。
您可以定期刷新数据库以捕获任何新服务器。刷新操作只会添加新发现的服务器。如果需要从头重建库（例如，因为您的符号错误），您可以使用菜单项“库”->“擦除”来擦除它，或手动删除当前用户的漫游应用程序数据文件夹中的数据库文件（rpcserver.db）。请注意，通过使用“文件”->“从二进制文件加载…”和“文件”->“从服务加载…”菜单项发现的RPC服务器会自动添加到库中。
您还可以通过选择“库”->“导出为文本”将整个库导出为文本。
创建新的RPC客户端
RPCI最强大的功能之一是能够动态与正在运行的感兴趣的RPC服务器交互。这是通过在客户端工作台窗口中创建新客户端来实现的。要打开客户端工作台窗口，从库服务器或过程选项卡中右键单击感兴趣的服务器，然后选择“新建客户端”。
工作台窗口分为三个窗格：
- 静态RPC服务器信息
- 包含动态客户端输出的文本框
- 包含客户端代码和过程选项卡的选项卡控件
客户端代码选项卡包含由NtApiDotNet生成的RPC客户端的C#源代码。代码已修改为包含一个“运行”函数，这是客户端的“入口点”。过程选项卡是所选RPC服务器接口中可用例程的快捷参考，因为源代码可能浏览起来很麻烦（我们正在努力改进！）。
生成和运行客户端的过程很简单：
- 修改“运行”函数以调用RPC服务器接口暴露的一个或多个过程；如果需要，可以打印结果。
- 单击“运行”按钮。
- 观察“运行”产生的任何输出
在上面的屏幕截图中，我选择了“主机网络服务”RPC服务器，因为它暴露了一些名称暗示有趣管理员功能的过程。通过对RPC端点进行几次函数调用，我能够与服务交互，转储似乎与Azure容器隔离相关的默认虚拟网络的名称。
使用ETW数据嗅探RPC流量
RPCI的另一个有用功能是提供对RPC相关ETW数据的可见性。ETW是内置于操作系统中的诊断功能。许多年前ETW非常简陋，但由于端点检测和响应（EDR）市场在过去十年中爆炸式增长，Microsoft已将ETW发展为关于系统活动的极其丰富的信息源。ETW的工作原理是，ETW提供者（通常是服务或操作系统组件）以“事件”数据包的形式发出结构良好的数据，应用程序可以消费这些事件来诊断性能问题。
RPCI注册为Microsoft-RPC（MSRPC）ETW提供者此类事件的消费者，并实时以表格或图形格式显示这些事件。要启动RPC嗅探器工具，导航到“工具”->“RPC嗅探器…”并单击工具栏中的“播放”按钮。随着事件开始到达，表格和图形都将每几秒更新一次。
MSRPC提供者发出的事件相当简单。事件记录客户端和服务器之间RPC调用的结果，在RpcClientCall和RpcServerCall开始和停止任务对中。开始事件包含关于RPC服务器接口的详细信息，例如协议、过程编号、选项和调用中使用的身份验证。停止事件通常不太有趣，但包括状态代码。通过关联特定RPC服务器和请求进程之间的调用开始/停止事件，我们可以开始理解系统上正在进行的操作。在表格视图中，当ETW数据按ActivityId分组时（单击工具栏中的“分组”按钮），更容易看到这些事件对，如下所示。
数据可能令人不知所措，因为ETW设计上相当嘈杂，但图形视图可以帮助您筛选噪音。要使用图形视图，只需在跟踪期间的任何时间单击工具栏中的“节点”按钮。要切换回表格视图，再次单击“节点”按钮。
长时间运行的跟踪将产生一个繁忙的图形，如上所示。您可以平移、缩放和更改图形布局类型以帮助深入