Xori - Marco de desensamblado personalizado

Xori es una librería de desensamblado y análisis estático preparada para automatización que consume shellcode o binarios PE y proporciona datos de análisis de triage.

Agradecimientos:

Xori no existiría sin la inspiración e ideas de la comunidad de código abierto. Estamos agradecidos por el trabajo del motor Capstone y del Proyecto LLVM.

Arquitecturas:

• i386
• x86-64

Formatos de archivo

• PE, PE+
• Shellcode simple

Características actuales

• Proporciona JSON del 1) Desensamblado, 2) Funciones y 3) Importaciones.
• Gestiona la memoria de imagen y pila.
• 2 modos:
  • Emulación ligera - diseñada para enumerar todas las rutas (Registros, Pila, Algunas instrucciones).
  • Emulación completa - solo sigue la ruta del código (Rendimiento lento).
• Estructuras TEB y PEB simuladas.
• Evalúa funciones basándose en exportaciones de DLL.
• Muestra cadenas basadas en ubicaciones de memoria referenciadas.
• Utiliza firmas estilo FLIRT (Fast Library Identification and Recognition Technology).
• Permite usar tus propias exportaciones para simular el PEB.
• Detectará relleno después de una llamada que no retorna.
• Intentará identificar referencias a funciones a partir de desplazamientos.

Lo que aún no hace:

• El motor es interactivo.
• No vuelca cadenas.
• No procesa secciones no ejecutables.
• TEB y PEB no están habilitados para archivos que no sean PE.
• Solo se emulan algunas instrucciones x86, no todas.
• Parcheo y ensamblado.
• Sin plugins ni scripting.

Documentación

Requisitos

rustc 1.27.0

Instalar rust para OSX y distribuciones Linux

curl https://sh.rustup.rs -sSf | sh

Instalar rust para Windows

Primero obtén el rustup.exe (el instalador de la cadena de herramientas de rust) desde aquí.

Esta herramienta instalará el compilador de rust rustc, el gestor de paquetes de rust cargo y otras herramientas útiles para el desarrollo en rust.

• ejecuta el rustup.exe

Instalar requisitos previos de rust

en caso de que veas esta salida, tu entorno de Windows carece de las Build Tools para Visual Studio, así que continúa leyendo, de lo contrario ve aquí

• sigue el enlace de la salida, o haz clic aquí

• cancela el rustup-init.exe

• de vuelta en el navegador, desplázate hacia abajo, expande la pestaña Tools for Visual Studio 2017 y descarga las Build Tools for Visual Studio 2017

• ejecuta el ejecutable

elige las Visual C++ build tools y haz clic en "instalar", cierra el "Instalador de Visual Studio" después de la instalación

Instalar la cadena de herramientas de rust

ejecuta el rustup.exe y verás la siguiente salida

después de la instalación exitosa podrás ver que el compilador de rust rustc, el gestor de paquetes de rust cargo y otras herramientas fueron instalados (en C:\Users\%username%\.cargo y C:\Users\%username%\.rustup)

• abre un nuevo "Símbolo del sistema" y sigue los pasos de compilación de xori aquí

Instalación

1. Compilar Xori

Este comando también creará otros binarios como pesymbols y peinfo.

git clone https://github.com/endgameinc/xori.git
cd xori
cargo build --release

2. Crear archivo de configuración xori.json

cp xori.json.example xori.json
[edit if desired]

3. (Opcional) Compilar los archivos de símbolos

Si deseas crear tus propios archivos de símbolos, debes establecer las carpetas de dll donde guardaste tus dlls de Windows.

"function_symbol32": "./src/analysis/symbols/generated_user_syswow64.json",
"function_symbol64": "./src/analysis/symbols/generated_user_system32.json",
"symbol_server": {
	"dll_folder32": "./dlls/32bit",
	"dll_folder64": "./dlls/64bit"

Ejecuta pesymbols para sobrescribir el json de function_symbol

 ./target/release/pesymbols

Ejecutar

./target/release/xori -f test.exe

Ejecutar todas las pruebas

cargo test

Interfaz gráfica de navegador

Chrome	Firefox	Safari	IE	Opera
Latest ✔	Latest ✔	Latest ✔	x	Latest ✔

Requisitos

nodejs

yarn (opcional para desarrollo de UI)

• En Ubuntu 18.04 es posible que necesites instalar lo siguiente con apt: curl git libssl-dev pkg-config build-essential npm

Compilar

cd gui
npm install

Ejecutar

En una terminal

cd gui
node src/server.js

En otra terminal

cd gui
npm start

Abrirá tu navegador predeterminado en http://localhost:3000/. La API del backend está escuchando en localhost:5000.