Xori - إطار عمل تفكيك مخصص

Xori هي مكتبة تفكيك وتحليل ثابت جاهزة للأتمتة تستهلك كود شيل أو ملفات PE ثنائية وتوفر بيانات تحليل أولي.

شكر وتقدير:

لم يكن Xori ليكون موجوداً دون الإلهام والأفكار من مجتمع المصادر المفتوحة. نحن مدينون بعمل محرك Capstone و مشروع LLVM.

البنيات المدعومة:

• i386
• x86-64

صيغ الملفات

• PE, PE+
• كود شيل عادي

الميزات الحالية

• يُخرج json لكل من: 1) التفكيك، 2) الدوال، 3) الواردات.
• يدير ذاكرة الصورة والمكدس.
• وضعان:
  • المحاكاة الخفيفة - تهدف إلى تعداد جميع المسارات (السجلات، المكدس، بعض التعليمات).
  • المحاكاة الكاملة - تتبع مسار الكود فقط (أداء بطيء).
• هياكل TEB و PEB مُحاكاة.
• يقيم الدوال بناءً على تصديرات DLL.
• يعرض السلاسل النصية بناءً على مواقع الذاكرة المُشار إليها.
• يستخدم توقيعات من نمط FLIRT (تقنية التعريف والتعرف السريع على المكتبات).
• يسمح لك باستخدام تصديراتك الخاصة لمحاكاة PEB.
• سيكتشف الحشو بعد استدعاء غير عائد.
• سيحاول تحديد مراجع الدوال من الإزاحات.

ما لا يفعله بعد:

• المحرك تفاعلي.
• لا يُفرغ السلاسل النصية.
• لا يعالج الأقسام غير القابلة للتنفيذ.
• TEB و PEB غير مفعلين للملفات غير PE.
• فقط بعض تعليمات x86 يتم محاكاتها، وليس الكل.
• التصحيح والتجميع.
• لا يوجد إضافات أو برمجة نصية.

التوثيق

المتطلبات

rustc 1.27.0

تثبيت rust لنظامي OSX وتوزيعات Linux

curl https://sh.rustup.rs -sSf | sh

تثبيت rust لنظام Windows

أولاً، احصل على rustup.exe (مثبت سلسلة أدوات rust) من هنا.

ستقوم هذه الأداة بتثبيت مترجم rust rustc، مدير حزم rust cargo وأدوات مفيدة أخرى للتطوير في rust.

• قم بتشغيل rustup.exe

تثبيت متطلبات rust الأساسية

في حال رأيت هذا المخرجات، فإن بيئة ويندوز الخاصة بك تفتقد أدوات البناء لـ Visual Studio، لذا تابع القراءة، وإلا انتقل هنا

• اتبع الرابط من المخرجات، أو انقر هنا

• ألغِ تنفيذ rustup-init.exe

• عد إلى المتصفح، مرر لأسفل، وسّع علامة التبويب أدوات لـ Visual Studio 2017 وقم بتنزيل أدوات البناء لـ Visual Studio 2017

• قم بتشغيل الملف التنفيذي

اختر أدوات بناء Visual C++ وانقر "تثبيت"، أغلق "مثبت Visual Studio" بعد التثبيت

تثبيت سلسلة أدوات rust

قم بتشغيل rustup.exe وسترى المخرجات التالية

بعد التثبيت الناجح، يمكنك رؤية أن مترجم rust rustc، مدير حزم rust cargo والأدوات الأخرى قد تم تثبيتها (تحت C:\Users\%username%\.cargo و C:\Users\%username%\.rustup)

• افتح "موجه أوامر" جديد واتبع خطوات بناء xori هنا

التثبيت

1. بناء Xori

سيقوم هذا الأمر أيضاً بإنشاء ملفات تنفيذية أخرى مثل pesymbols و peinfo.

git clone https://github.com/endgameinc/xori.git
cd xori
cargo build --release

2. إنشاء ملف الإعدادات xori.json

cp xori.json.example xori.json
[عدّل حسب الرغبة]

3. (اختياري) بناء ملفات الرموز

إذا كنت تريد إنشاء ملفات الرموز الخاصة بك، فعليك تعيين مجلدات dll إلى المكان الذي خزنت فيه ملفات windows dll الخاصة بك.

"function_symbol32": "./src/analysis/symbols/generated_user_syswow64.json",
"function_symbol64": "./src/analysis/symbols/generated_user_system32.json",
"symbol_server": {
	"dll_folder32": "./dlls/32bit",
	"dll_folder64": "./dlls/64bit"

قم بتشغيل pesymbols لاستبدال ملف json لدوال الرموز

 ./target/release/pesymbols

التشغيل

./target/release/xori -f test.exe

تشغيل جميع الاختبارات

cargo test

واجهة المتصفح الرسومية

المتطلبات

nodejs

yarn (اختياري لتطوير واجهة المستخدم)

• على Ubuntu 18.04 قد تحتاج إلى تثبيت ما يلي باستخدام apt: curl git libssl-dev pkg-config build-essential npm

البناء

cd gui
npm install

التشغيل

في محطة طرفية واحدة

cd gui
node src/server.js

في محطة طرفية أخرى

cd gui
npm start

سيفتح المتصفح الافتراضي إلى http://localhost:3000/. واجهة برمجة التطبيقات الخلفية تستمع على localhost:5000.