Xori - Framework di disassemblaggio personalizzato

Xori è una libreria di disassemblaggio e analisi statica pronta per l'automazione che consuma shellcode o binari PE e fornisce dati di analisi di triage.

Riconoscimenti:

Xori non esisterebbe senza l'ispirazione e le idee della comunità open source. Siamo grati al lavoro del Capstone engine e del LLVM Project.

Architetture:

• i386
• x86-64

Formati di file

• PE, PE+
• Shellcode semplice

Funzionalità attuali

• Produce output json di 1) Disassemblaggio, 2) Funzioni e 3) Import.
• Gestisce la memoria dell'immagine e dello stack.
• 2 modalità:
  • Emulazione leggera - intesa per enumerare tutti i percorsi (Registri, Stack, Alcune Istruzioni).
  • Emulazione completa - segue solo il percorso del codice (Prestazioni lente).
• Strutture TEB e PEB simulate.
• Valuta le funzioni in base agli export delle DLL.
• Mostra le stringhe in base alle locazioni di memoria referenziate.
• Utilizza firme in stile FLIRT (Fast Library Identification and Recognition Technology).
• Permette di utilizzare i propri export per simulare il PEB.
• Rileva il padding dopo una chiamata che non ritorna.
• Cerca di identificare i riferimenti alle funzioni dagli offset.

Cosa non fa ancora:

• Il motore è interattivo.
• Non scarica le stringhe.
• Non elabora le sezioni non eseguibili.
• TEB e PEB non sono abilitati per i file non PE.
• Solo alcune istruzioni x86 sono emulate, non tutte.
• Patching e assemblaggio.
• Nessun plugin o scripting.

Documentazione

Requisiti

rustc 1.27.0

Installare rust per OSX e distribuzioni Linux

curl https://sh.rustup.rs -sSf | sh

Installare rust per Windows

Per prima cosa scarica rustup.exe (l'installer del toolchain rust) da qui.

Questo strumento installerà il compilatore rust rustc, il gestore di pacchetti rust cargo e altri strumenti utili per lo sviluppo in rust.

• esegui rustup.exe

Installare i prerequisiti di rust

nel caso in cui vedessi questo output, il tuo ambiente Windows manca dei Build Tools for Visual Studio, quindi continua a leggere, altrimenti vai qui

• segui il link dall'output, o clicca qui

• annulla rustup-init.exe

• torna nel browser, scorri verso il basso, espandi la scheda Tools for Visual Studio 2017 e scarica i Build Tools for Visual Studio 2017

• esegui l'eseguibile

scegli i Visual C++ build tools e clicca "installa", chiudi il "Visual Studio Installer" dopo l'installazione

Installare il toolchain rust

esegui rustup.exe e vedrai il seguente output

dopo l'installazione riuscita puoi vedere che il compilatore rust rustc, il gestore di pacchetti rust cargo e altri strumenti sono stati installati (sotto C:\Users\%username%\.cargo e C:\Users\%username%\.rustup)

• apri un nuovo "Prompt dei comandi" e segui i passaggi di build di xori qui

Installazione

1. Compilare Xori

Questo comando creerà anche altri binari come pesymbols e peinfo.

git clone https://github.com/endgameinc/xori.git
cd xori
cargo build --release

2. Creare il file di configurazione xori.json

cp xori.json.example xori.json
[edit if desired]

3. (Opzionale) Compilare i file dei simboli

Se desideri creare i tuoi file di simboli, devi impostare le cartelle delle dll dove hai memorizzato le tue dll di Windows.

"function_symbol32": "./src/analysis/symbols/generated_user_syswow64.json",
"function_symbol64": "./src/analysis/symbols/generated_user_system32.json",
"symbol_server": {
	"dll_folder32": "./dlls/32bit",
	"dll_folder64": "./dlls/64bit"

Esegui pesymbols per sovrascrivere il json di function_symbol

 ./target/release/pesymbols

Esecuzione

./target/release/xori -f test.exe

Eseguire tutti i test

cargo test

GUI del Browser

Chrome	Firefox	Safari	IE	Opera
Latest ✔	Latest ✔	Latest ✔	x	Latest ✔

Requisiti

nodejs

yarn (opzionale per lo sviluppo dell'interfaccia)

• Su Ubuntu 18.04 potrebbe essere necessario installare tramite apt quanto segue: curl git libssl-dev pkg-config build-essential npm

Compilazione

cd gui
npm install

Esecuzione

In un terminale

cd gui
node src/server.js

In un altro terminale

cd gui
npm start

Aprirà il tuo browser predefinito su http://localhost:3000/. L'API backend è in ascolto su localhost:5000.