Strumento di emulazione shellcode Windows basato sul framework unicorn.

ShellcodeEmulator emula shellcode Windows con l'aiuto di dump di memoria di processo windbg. Puoi fornire shellcode da analizzare con qualsiasi immagine di dump di processo Windows. Lo strumento emulerà il più possibile il codice userland utilizzando i byte dello shellcode e l'immagine di dump fornita.

Puoi aggiungere i tuoi gestori syscall personalizzati o qualsiasi gestore tra le chiamate API utilizzate dallo shellcode e il livello kernel. Questo può fornire una visione completa dello stack utente. Ti permetterà di investigare shellcode che elude gli hook API laschi a livelli più alti dello stack.

Installazione

1. Installa WinDbg

2. Installa ShellcodeEmulator

pip install git+https://github.com/ohjeongwook/ShellcodeEmulator --upgrade

3. Esegui il seguente comando se riscontri problemi di integrazione PyKD/WinDbg
   • PyKD ha alcuni problemi con la distribuzione dei pacchetti DLL.

python -m pykdfix.fix_windbg_files

Utilizzo

> python -m shellcode_emulator.run

Usage: run.py [options] args

Options:
  -h, --help            show this help message and exit
  -b IMAGE_BASE, --image_base=IMAGE_BASE
                        Image base to load the shellcode inside process memory
  -d DUMP_FILENAME, --dump_filename=DUMP_FILENAME
                        A process dump file from normal Windows process
  -l LIST_FILENAME, --list_filename=LIST_FILENAME
                        A list filename generated by IDA (this can be used
                        instead of shellcode filename)

Esempio

1. Prendi un dump di processo dal processo notepad di Windows usando Process Explorer e salvalo come notepad.dmp
2. Esegui lo shellcode wincalc.bin

python -m shellcode_emulator.run wincalc.bin -d notepad.dmp