Xori - Framework de desmontagem personalizado

Xori é uma biblioteca de desmontagem e análise estática pronta para automação que consome shellcode ou binários PE e fornece dados de análise de triagem.

Agradecimentos:

Xori não existiria sem inspiração e ideias da comunidade de código aberto. Somos gratos ao trabalho do motor Capstone e do Projeto LLVM.

Arquiteturas:

• i386
• x86-64

Formatos de Arquivo

• PE, PE+
• Shellcode simples

Recursos Atuais

• Gera json do 1) Desmontagem, 2) Funções e 3) Importações.
• Gerencia a memória de Imagem e Pilha.
• 2 modos:
  • Emulação Leve - destinada a enumerar todos os caminhos (Registradores, Pilha, Algumas Instruções).
  • Emulação Total - segue apenas o caminho do código (Desempenho lento).
• Estruturas TEB e PEB simuladas.
• Avalia funções com base em exportações de DLL.
• Exibe strings com base em localizações de memória referenciadas.
• Usa assinaturas estilo FLIRT (Fast Library Identification and Recognition Technology).
• Permite usar suas próprias exportações para simular o PEB.
• Detectará preenchimento após uma chamada sem retorno.
• Tentará identificar referências de função a partir de offsets.

O que ainda não faz:

• O mecanismo é interativo.
• Não extrai strings.
• Não processa seções não executáveis.
• TEB e PEB não estão habilitados para arquivos não PE.
• Apenas algumas instruções x86 são emuladas, não todas.
• Patch e montagem.
• Sem plugins ou scripts.

Documentação

Requisitos

rustc 1.27.0

Instalar rust para OSX e Distribuições Linux

curl https://sh.rustup.rs -sSf | sh

Instalar rust para Windows

Primeiro, obtenha o rustup.exe (o instalador da toolchain rust) a partir daqui.

Esta ferramenta instalará o compilador rust rustc, o gerenciador de pacotes cargo e outras ferramentas úteis para desenvolvimento em rust.

• execute o rustup.exe

Instalar pré-requisitos do rust

caso veja esta saída, seu ambiente Windows está sem as Ferramentas de Build para Visual Studio então continue lendo, caso contrário vá aqui

• siga o link da saída, ou clique aqui

• cancele o rustup-init.exe

• de volta ao navegador, role para baixo, expanda a guia Ferramentas para Visual Studio 2017 e baixe as Ferramentas de Build para Visual Studio 2017

• execute o executável

escolha as ferramentas de build do Visual C++ e clique em "instalar", feche o "Instalador do Visual Studio" após a instalação

Instalar a toolchain do rust

execute o rustup.exe e você verá a seguinte saída

após a instalação bem-sucedida, você pode ver que o compilador rust rustc, o gerenciador de pacotes cargo e outras ferramentas foram instalados (em C:\Users\%username%\.cargo & C:\Users\%username%\.rustup)

• abra um novo 'Prompt de Comando' e siga as etapas de build do xori aqui

Instalação

1. Compilar o Xori

Este comando também criará outros binários como pesymbols ans peinfo.

git clone https://github.com/endgameinc/xori.git
cd xori
cargo build --release

2. Criar arquivo de configuração xori.json

cp xori.json.example xori.json
[edit if desired]

3. (Opcional) Compilar os arquivos de símbolos

Se você deseja criar seus próprios arquivos de símbolos, precisa definir as pastas de dll para onde você armazenou suas dlls do Windows.

"function_symbol32": "./src/analysis/symbols/generated_user_syswow64.json",
"function_symbol64": "./src/analysis/symbols/generated_user_system32.json",
"symbol_server": {
	"dll_folder32": "./dlls/32bit",
	"dll_folder64": "./dlls/64bit"

Execute pesymbols para sobrescrever o json function_symbol

 ./target/release/pesymbols

Executar

./target/release/xori -f test.exe

Executar todos os testes

cargo test

Interface Gráfica no Navegador

Chrome	Firefox	Safari	IE	Opera
Latest ✔	Latest ✔	Latest ✔	x	Latest ✔

Requisitos

nodejs

yarn (opcional para desenvolvimento de UI)

• No Ubuntu 18.04, você pode precisar apt install o seguinte: curl git libssl-dev pkg-config build-essential npm

Compilar

cd gui
npm install

Executar

Em um terminal

cd gui
node src/server.js

Em outro terminal

cd gui
npm start

Isso abrirá seu navegador padrão em http://localhost:3000/. A API backend está ouvindo em localhost:5000.