Xori - 맞춤형 디스어셈블리 프레임워크

Xori는 쉘코드 또는 PE 바이너리를 소비하고 트라이어지 분석 데이터를 제공하는 자동화 준비 디스어셈블리 및 정적 분석 라이브러리입니다.

감사의 말:

Xori는 오픈 소스 커뮤니티의 영감과 아이디어 없이 존재할 수 없었습니다. 우리는 Capstone 엔진과 LLVM 프로젝트의 작업에 깊이 감사드립니다.

아키텍처:

• i386
• x86-64

파일 형식

• PE, PE+
• 일반 쉘코드

현재 기능

• 1. 디스어셈블리, 2) 함수, 3) 임포트의 JSON을 출력합니다.
• 이미지 및 스택 메모리를 관리합니다.
• 2가지 모드:
  • 경량 에뮬레이션 - 모든 경로를 열거하도록 설계됨 (레지스터, 스택, 일부 명령어).
  • 전체 에뮬레이션 - 코드의 경로만 따라감 (느린 성능).
• 시뮬레이션된 TEB 및 PEB 구조.
• DLL 내보내기를 기반으로 함수를 평가합니다.
• 참조된 메모리 위치를 기반으로 문자열을 표시합니다.
• FLIRT 스타일 시그니처 사용 (Fast Library Identification and Recognition Technology).
• PEB 시뮬레이션을 위해 자체 내보내기를 사용할 수 있도록 허용합니다.
• 반환되지 않는 호출 후 패딩을 감지합니다.
• 오프셋에서 함수 참조를 식별하려고 시도합니다.

아직 하지 않는 것:

• 엔진은 대화형입니다.
• 문자열을 덤프하지 않습니다.
• 실행 가능하지 않은 섹션을 처리하지 않습니다.
• TEB 및 PEB는 비-PE 파일에 대해 활성화되지 않습니다.
• 일부 x86 명령어만 에뮬레이션되며, 전부는 아닙니다.
• 패치 및 어셈블링.
• 플러그인 또는 스크립팅 없음.

문서

요구 사항

rustc 1.27.0

OSX 및 Linux 배포판용 rust 설치

curl https://sh.rustup.rs -sSf | sh

Windows용 rust 설치

먼저 여기에서 rustup.exe (rust 툴체인 설치 프로그램)를 다운로드합니다.

이 도구는 rust 컴파일러 rustc, rust 패키지 관리자 cargo 및 rust 개발에 유용한 기타 도구를 설치합니다.

• rustup.exe 실행

rust 필수 구성 요소 설치

이 출력이 표시되면 Windows 환경에 Visual Studio용 빌드 도구가 없는 것입니다. 계속 읽으십시오. 그렇지 않으면 여기로 이동하십시오.

• 출력의 링크를 따르거나 여기를 클릭하십시오.

• rustup-init.exe 취소

• 브라우저로 돌아가서 아래로 스크롤하여 Tools for Visual Studio 2017 탭을 확장하고 Build Tools for Visual Studio 2017을 다운로드합니다.

• 실행 파일 실행

Visual C++ 빌드 도구를 선택하고 "설치"를 클릭합니다. 설치 후 "Visual Studio Installer"를 닫습니다.

rust 툴체인 설치

_rustup.exe_를 실행하면 다음 출력이 표시됩니다.

성공적인 설치 후 rust 컴파일러 rustc, rust 패키지 관리자 cargo 및 기타 도구가 설치된 것을 확인할 수 있습니다 (C:\Users\%username%\.cargo 및 C:\Users\%username%\.rustup 아래).

• 새 "명령 프롬프트"를 열고 여기의 xori 빌드 단계를 따릅니다.

설치

1. Xori 빌드

이 명령은 pesymbols 및 peinfo와 같은 다른 바이너리도 생성합니다.

git clone https://github.com/endgameinc/xori.git
cd xori
cargo build --release

2. xori.json 설정 파일 생성

cp xori.json.example xori.json
[필요시 편집]

3. (선택 사항) 심볼 파일 빌드

자체 심볼 파일을 생성하려면 dll 폴더를 Windows dll이 저장된 위치로 설정해야 합니다.

"function_symbol32": "./src/analysis/symbols/generated_user_syswow64.json",
"function_symbol64": "./src/analysis/symbols/generated_user_system32.json",
"symbol_server": {
	"dll_folder32": "./dlls/32bit",
	"dll_folder64": "./dlls/64bit"

pesymbols를 실행하여 function_symbol json을 덮어씁니다.

 ./target/release/pesymbols

실행

./target/release/xori -f test.exe

모든 테스트 실행

cargo test

브라우저 GUI

요구 사항

nodejs

yarn (UI 개발 선택 사항)

• Ubuntu 18.04에서는 다음을 apt install해야 할 수 있습니다: curl git libssl-dev pkg-config build-essential npm

빌드

cd gui
npm install

실행

한 터미널에서

cd gui
node src/server.js

다른 터미널에서

cd gui
npm start

기본 브라우저가 http://localhost:3000/ 으로 열립니다. 백엔드 API는 localhost:5000에서 수신 대기합니다.