Xori - カスタムディスアセンブリフレームワーク

Xoriは、シェルコードやPEバイナリを処理し、トリアージ分析データを提供する、自動化対応の逆アセンブリおよび静的解析ライブラリです。

謝辞:

Xoriは、オープンソースコミュニティからのインスピレーションとアイデアがなければ存在しませんでした。Capstone engine と LLVM Project の仕事に感謝しています。

アーキテクチャ:

• i386
• x86-64

ファイル形式

• PE、PE+
• プレーンシェルコード

現在の機能

• 1. 逆アセンブリ、2) 関数、3) インポートのJSONを出力します。
• イメージメモリとスタックメモリを管理します。
• 2つのモード:
  • 軽量エミュレーション - すべてのパス（レジスタ、スタック、一部の命令）を列挙することを目的としています。
  • 完全エミュレーション - コードのパスのみを追跡します（パフォーマンスが遅い）。
• シミュレートされたTEBおよびPEB構造体。
• DLLエクスポートに基づいて関数を評価します。
• 参照されたメモリ位置に基づいて文字列を表示します。
• FLIRTスタイルのシグネチャ（Fast Library Identification and Recognition Technology）を使用します。
• PEBをシミュレートするために独自のエクスポートを使用できます。
• 復帰しない呼び出し後のパディングを検出します。
• オフセットから関数参照を識別しようとします。

まだできないこと:

• エンジンはインタラクティブです。
• 文字列をダンプしません。
• 実行不可能なセクションを処理しません。
• TEBおよびPEBは非PEファイルでは有効になりません。
• 一部のx86命令のみがエミュレートされ、すべてではありません。
• パッチ適用とアセンブル。
• プラグインやスクリプトはありません。

Documentation

要件

rustc 1.27.0

OSXおよびLinuxディストリビューションへのRustのインストール

curl https://sh.rustup.rs -sSf | sh

WindowsへのRustのインストール

まず、こちら から rustup.exe (Rustツールチェーンインストーラー) を入手してください。

このツールは、Rustコンパイラ rustc、Rustパッケージマネージャ cargo、およびRust開発に役立つその他のツールをインストールします。

• rustup.exe を実行します。

Rustの前提条件のインストール

この出力が表示された場合、Windows環境に Build Tools for Visual Studio が不足しています。そのまま読み進めてください。それ以外の場合は、こちら に進んでください。

• 出力のリンクをたどるか、こちら をクリックします。

• rustup-init.exe をキャンセルします。

• ブラウザに戻り、下にスクロールして、Tools for Visual Studio 2017 タブを展開し、Build Tools for Visual Studio 2017 をダウンロードします。

• 実行可能ファイルを実行します。

Visual C++ build tools を選択し、「インストール」をクリックし、インストール後に「Visual Studio Installer」を閉じます。

Rustツールチェーンのインストール

rustup.exe を実行すると、次の出力が表示されます。

インストールが成功すると、Rustコンパイラ rustc、Rustパッケージマネージャ cargo、およびその他のツールがインストールされたことを確認できます（C:\Users\%username%\.cargo および C:\Users\%username%\.rustup の下）。

• 新しい「コマンドプロンプト」を開き、xori のビルド手順 こちら に従ってください。

Installation

1. Xoriのビルド

このコマンドは、pesymbolsやpeinfoなどの他のバイナリも作成します。

git clone https://github.com/endgameinc/xori.git
cd xori
cargo build --release

2. xori.json設定ファイルの作成

cp xori.json.example xori.json
[edit if desired]

3. (オプション) シンボルファイルのビルド

独自のシンボルファイルを作成する場合は、Windows DLLを保存した場所にDLLフォルダを設定する必要があります。

"function_symbol32": "./src/analysis/symbols/generated_user_syswow64.json",
"function_symbol64": "./src/analysis/symbols/generated_user_system32.json",
"symbol_server": {
	"dll_folder32": "./dlls/32bit",
	"dll_folder64": "./dlls/64bit"

pesymbolsを実行してfunction_symbol jsonを上書きします

 ./target/release/pesymbols

実行

./target/release/xori -f test.exe

すべてのテストを実行

cargo test

ブラウザGUI

要件

nodejs

yarn（UI開発用、オプション）

• Ubuntu 18.04では、以下をaptインストールする必要がある場合があります: curl git libssl-dev pkg-config build-essential npm

ビルド

cd gui
npm install

実行

1つのターミナルで

cd gui
node src/server.js

別のターミナルで

cd gui
npm start

デフォルトのブラウザで http://localhost:3000/ が開きます。

バックエンドAPIは localhost:5000 で待機しています。