Windows-Shellcode-Emulationswerkzeug basierend auf dem Unicorn-Framework

ShellcodeEmulator emuliert Windows-Shellcode mithilfe von WinDbg-Prozessspeicherabbildern. Sie können Shellcode zur Analyse mit einem beliebigen Windows-Prozessabbild bereitstellen. Das Werkzeug emuliert so viel des Benutzermodus-Codes wie möglich, wobei es die Shellcode-Bytes und das bereitgestellte Abbild nutzt.

Sie können eigene Syscall-Handler oder beliebige Handler zwischen den vom Shellcode verwendeten API-Aufrufen und der Kernel-Ebene hinzufügen. Dies bietet eine vollständige Ansicht des Benutzer-Stacks und ermöglicht die Untersuchung von Shellcode, der lockere API-Hooks auf einer höheren Aufrufstack-Ebene umgeht.

Installation

1. Installieren Sie WinDbg

2. Installieren Sie ShellcodeEmulator

pip install git+https://github.com/ohjeongwook/ShellcodeEmulator --upgrade

3. Führen Sie bitte den folgenden Befehl aus, falls Sie Probleme mit der Integration von PyKD/WinDbg haben
   • PyKD hat einige Probleme mit der DLL-Paketverteilung.

python -m pykdfix.fix_windbg_files

Verwendung

> python -m shellcode_emulator.run

Usage: run.py [options] args

Options:
  -h, --help            show this help message and exit
  -b IMAGE_BASE, --image_base=IMAGE_BASE
                        Image base to load the shellcode inside process memory
  -d DUMP_FILENAME, --dump_filename=DUMP_FILENAME
                        A process dump file from normal Windows process
  -l LIST_FILENAME, --list_filename=LIST_FILENAME
                        A list filename generated by IDA (this can be used
                        instead of shellcode filename)

Beispiel

1. Erstellen Sie mit dem Process Explorer einen Prozessabbild des Windows-Notepad-Prozesses und speichern Sie es als notepad.dmp
2. Führen Sie den Shellcode wincalc.bin aus

python -m shellcode_emulator.run wincalc.bin -d notepad.dmp