Xori - Framework de désassemblage personnalisé

Xori est une bibliothèque de désassemblage et d'analyse statique prête pour l'automatisation qui consomme du shellcode ou des binaires PE et fournit des données d'analyse de triage.

Remerciements :

Xori n'existerait pas sans l'inspiration et les idées de la communauté open source. Nous sommes redevables du travail du moteur Capstone et du Projet LLVM.

Architectures :

• i386
• x86-64

Formats de fichiers

• PE, PE+
• Shellcode brut

Fonctionnalités actuelles

• Produit du JSON du 1) Désassemblage, 2) Fonctions, et 3) Imports.
• Gère la mémoire Image et Stack.
• 2 modes :
  • Émulation légère - destinée à énumérer tous les chemins (Registres, Pile, Certaines Instructions).
  • Émulation complète - suit uniquement le chemin du code (Performances lentes).
• Structures TEB et PEB simulées.
• Évalue les fonctions en fonction des exportations de DLL.
• Affiche les chaînes de caractères basées sur les emplacements mémoire référencés.
• Utilise des signatures de style FLIRT (Fast Library Identification and Recognition Technology).
• Permet d'utiliser vos propres exports pour simuler le PEB.
• Détecte le padding après un appel sans retour.
• Tentative d'identifier les références de fonctions à partir des décalages.

Ce qu'il ne fait pas encore :

• Le moteur est interactif.
• Ne vide pas les chaînes de caractères.
• Ne traite pas les sections non exécutables.
• TEB et PEB ne sont pas activés pour les fichiers non-PE.
• Seules certaines instructions x86 sont émulées, pas toutes.
• Patching et assemblage.
• Pas de plugins ni de scripting.

Documentation

Prérequis

rustc 1.27.0

Installer rust pour OSX et les distributions Linux

curl https://sh.rustup.rs -sSf | sh

Installer rust pour Windows

Obtenez d'abord le fichier rustup.exe (l'installateur de la chaîne d'outils rust) depuis ici.

Cet outil installera le compilateur rust rustc, le gestionnaire de paquets rust cargo et d'autres outils utiles pour le développement en rust.

• exécutez le fichier rustup.exe

Installer les prérequis de rust

au cas où vous verriez cette sortie, il manque à votre environnement Windows les Build Tools pour Visual Studio, alors continuez à lire, sinon allez ici

• suivez le lien de la sortie, ou cliquez ici

• annulez le fichier rustup-init.exe

• de retour dans le navigateur, faites défiler vers le bas, développez l'onglet Outils pour Visual Studio 2017 et téléchargez les Build Tools pour Visual Studio 2017

• exécutez l'exécutable

choisissez les outils de build Visual C++ et cliquez sur "installer", fermez le "Programme d'installation de Visual Studio" après l'installation

Installer la chaîne d'outils rust

exécutez le fichier rustup.exe et vous verrez la sortie suivante

après une installation réussie, vous pouvez voir que le compilateur rust rustc, le gestionnaire de paquets rust cargo et d'autres outils ont été installés (sous C:\Users\%username%\.cargo et C:\Users\%username%\.rustup)

• ouvrez une nouvelle "Invite de commandes" et suivez les étapes de construction de xori ici

Installation

1. Construire Xori

Cette commande créera également d'autres binaires comme pesymbols et peinfo.

git clone https://github.com/endgameinc/xori.git
cd xori
cargo build --release

2. Créer le fichier de configuration xori.json

cp xori.json.example xori.json
[edit if desired]

3. (Facultatif) Construire les fichiers de symboles

Si vous voulez créer vos propres fichiers de symboles, vous devez définir les dossiers de dll à l'endroit où vous avez stocké vos dll Windows.

"function_symbol32": "./src/analysis/symbols/generated_user_syswow64.json",
"function_symbol64": "./src/analysis/symbols/generated_user_system32.json",
"symbol_server": {
	"dll_folder32": "./dlls/32bit",
	"dll_folder64": "./dlls/64bit"

Exécutez pesymbols pour écraser le json function_symbol

 ./target/release/pesymbols

Exécuter

./target/release/xori -f test.exe

Exécuter tous les tests

cargo test

Interface graphique (Navigateur)

Prérequis

nodejs

yarn (optionnel pour le développement de l'interface)

• Sur Ubuntu 18.04, vous devrez peut-être installer les éléments suivants avec apt : curl git libssl-dev pkg-config build-essential npm

Construction

cd gui
npm install

Exécuter

Dans un terminal

cd gui
node src/server.js

Dans un autre terminal

cd gui
npm start

Cela ouvrira votre navigateur par défaut sur http://localhost:3000/. L'API backend écoute sur localhost:5000.