Xori — Собственный фреймворк дизассемблирования

Xori — это библиотека дизассемблирования и статического анализа, готовая к автоматизации, которая обрабатывает шеллкод или PE-бинарники и предоставляет данные триажного анализа.

Благодарности:

Xori не существовал бы без вдохновения и идей от сообщества open source. Мы признательны работе движка Capstone и проекта LLVM.

Архитектуры:

• i386
• x86-64

Форматы файлов

• PE, PE+
• Обычный шеллкод

Текущие возможности

• Выводит JSON: 1) дизассемблирование, 2) функции, 3) импорты.
• Управляет памятью образа и стека.
• 2 режима:
  • Легкая эмуляция — предназначена для перебора всех путей (регистры, стек, некоторые инструкции).
  • Полная эмуляция — следует только по пути кода (медленная производительность).
• Имитированные структуры TEB и PEB.
• Оценивает функции на основе экспорта DLL.
• Отображает строки на основе ссылочных адресов памяти.
• Использует сигнатуры в стиле FLIRT (Fast Library Identification and Recognition Technology).
• Позволяет использовать собственные экспорты для имитации PEB.
• Обнаруживает заполнение после невозвратного вызова.
• Пытается идентифицировать ссылки на функции по смещениям.

Что пока не умеет:

• Движок интерактивен.
• Не дампит строки.
• Не обрабатывает неисполняемые секции.
• TEB и PEB не включены для файлов, не являющихся PE.
• Эмулируются только некоторые инструкции x86, не все.
• Патчинг и ассемблирование.
• Нет плагинов или скриптования.

Документация

Требования

rustc 1.27.0

Установка rust для OSX и дистрибутивов Linux

curl https://sh.rustup.rs -sSf | sh

Установка rust для Windows

Сначала получите rustup.exe (установщик набора инструментов rust) здесь.

Этот инструмент установит компилятор rust rustc, менеджер пакетов rust cargo и другие полезные инструменты для разработки на rust.

• запустите rustup.exe

Установка предварительных требований rust

если вы видите этот вывод, в вашей среде Windows отсутствуют Build Tools for Visual Studio, так что продолжайте чтение, иначе перейдите сюда

• перейдите по ссылке из вывода или нажмите здесь

• отмените rustup-init.exe

• вернитесь в браузер, прокрутите вниз, раскройте вкладку Tools for Visual Studio 2017 и скачайте Build Tools for Visual Studio 2017

• запустите исполняемый файл

выберите Visual C++ build tools и нажмите «install», закройте «Visual Studio Installer» после установки

Установка набора инструментов rust

запустите rustup.exe и вы увидите следующий вывод

после успешной установки вы увидите, что компилятор rust rustc, менеджер пакетов rust cargo и другие инструменты были установлены (в C:\Users\%username%\.cargo и C:\Users\%username%\.rustup)

• откройте новую командную строку и следуйте шагам сборки xori здесь

Установка

1. Сборка Xori

Эта команда также создаст другие бинарные файлы, такие как pesymbols и peinfo.

git clone https://github.com/endgameinc/xori.git
cd xori
cargo build --release

2. Создание файла конфигурации xori.json

cp xori.json.example xori.json
[edit if desired]

3. (Опционально) Сборка файлов символов

Если вы хотите создать собственные файлы символов, вам нужно указать папки DLL, где хранятся ваши DLL Windows.

"function_symbol32": "./src/analysis/symbols/generated_user_syswow64.json",
"function_symbol64": "./src/analysis/symbols/generated_user_system32.json",
"symbol_server": {
	"dll_folder32": "./dlls/32bit",
	"dll_folder64": "./dlls/64bit"

Запустите pesymbols для перезаписи JSON function_symbol

 ./target/release/pesymbols

Запуск

./target/release/xori -f test.exe

Запуск всех тестов

cargo test

Графический интерфейс в браузере

Chrome	Firefox	Safari	IE	Opera
Последняя версия ✔	Последняя версия ✔	Последняя версия ✔	x	Последняя версия ✔

Требования

nodejs

yarn (опционально для разработки UI)

• На Ubuntu 18.04 может потребоваться установить следующее через apt: curl git libssl-dev pkg-config build-essential npm

Сборка

cd gui
npm install

Запуск

В одном терминале

cd gui
node src/server.js

В другом терминале

cd gui
npm start

Он откроет ваш браузер по умолчанию на http://localhost:3000/. API бэкенда слушает localhost:5000.