x64dbg Automate自动化分析的利器

用x64dbg Automate，让恶意软件分析不再繁琐！

在当今复杂多变的网络安全领域，恶意软件分析、逆向工程和漏洞挖掘已成为网络安全专家的日常任务。然而，面对海量的样本和复杂的技术手段，传统的手动分析方法不仅耗时费力，还容易出错。如何在有限的时间内高效完成大规模分析任务，成为每一个安全从业者面临的挑战。今天，我们将为您介绍一个强大的工具——x64dbg Automate[1]。它是为x64dbg设计的自动化解决方案，基于x64dbg的命令执行引擎和插件API，提供了一个表达力强、现代化且易于使用的Python客户端库。通过强大的自动化功能，x64dbg Automate能帮助我们轻松应对恶意软件分析中的重复性工作、复杂性难题以及反调试机制，让您的分析工作变得高效且可复现。

为什么我们需要Automate？如果要用几个关键词来概括自动化能够帮助我解决的问题，它主要涉及以下方面：

假设我们面临以下场景：

from x64dbg_automate import X64DbgClient

def seek_payload_entrypoint(client: X64DbgClient):
    # 定位有效载荷所在的内存页
    module_base, _ = client.eval_sync("mod.main()")
    payload_mem_page = [mem for mem in client.memmap() if '.reloc' in mem.info 
                        and mem.base_address > module_base][0]
    
    # 在有效载荷的内存页上设置执行断点
    client.set_memory_breakpoint(payload_mem_page.base_address, bp_type='x', restore=False)
    client.go() # 运行到程序入口点
    client.wait_until_stopped()
    client.go() # 运行到内存断点
    client.wait_until_stopped()

    # 遍历 N 层解密过程，找到最终入口点
    while True:
        addr = client.get_reg('rip')

        # 确保当前指令地址仍在解密函数内
        if addr < payload_mem_page.base_address 
            or addr >= payload_mem_page.base_address + payload_mem_page.region_size:
            raise ValueError('解密遍历失败，rip 超出预期范围')

        # 如果当前指令不是 "mov rcx, XYZ"，则找到入口点
        ins = client.disassemble_at(addr)
        if not ins.instruction.startswith('mov rcx,'):
            break

        # 否则，继续单步执行，遍历下一层
        while True:
            addr += ins.instr_size
            ins = client.disassemble_at(addr)
            if ins.instruction.startswith('jmp'):
                client.set_breakpoint(addr, singleshoot=True)
                client.go()
                client.wait_until_stopped()
                client.stepi()
                break

    # 现在可以自由分析有效载荷的入口点了
    client.stepi()

if __name__ == "__main__":
    # 启动 x64dbg 并附加到目标进程
    client = X64DbgClient(r'E:rex64dbg_devreleasex64x64dbg.exe')
    client.start_session(str(sample))
    seek_payload_entrypoint(client)
    client.detach_session()

from x64dbg_automate.models import ReferenceViewRef

def annotate_strings_and_calls(client: X64DbgClient):
    mem = client.virt_query(client.get_reg('rip'))
    payload = client.read_memory(mem.base_address, mem.region_size)
    refs = []

    # 查找字符串解密器
    obf_string_pattern = bytes.fromhex('49 09 C6 49 81 CE CC 00 00 00 EB')
    for i in range(len(payload) - len(obf_string_pattern)):
        if payload[i:i + len(obf_string_pattern)] == obf_string_pattern:
            str_loc = i + len(obf_string_pattern) + 1
            str_size = payload[str_loc - 1]
            obf_str = bytearray(payload[str_loc:str_loc + str_size])
            char_size = int(obf_str[-3:] == b'x00x00x00') + 1

            for ix, i in enumerate(range(0, len(obf_str) - char_size, char_size)):
                obf_str[i] = (obf_str[i] - (0xCC + (ix * 13))) & 0xFF
            obf_str = obf_str.decode('utf-16-le' if char_size == 2 else 'utf-8').rstrip('x00')

            client.set_comment_at(mem.base_address + str_loc - 2, f"解码字符串: '{obf_str}'")
            refs.append(ReferenceViewRef(
                address=mem.base_address + str_loc - 2,
                text=f"解码字符串: '{obf_str}'"
            ))

    # 在 GUI 中显示标注信息
    client.gui_show_reference_view("混淆调用和字符串", refs)

if __name__ == "__main__":
    annotate_strings_and_calls(client)
    client.detach_session()

def bypass_anti_debug(client: X64DbgClient):
    client.hide_debugger_peb()  # 绕过 PEB 反调试

    addr, _ = client.eval_sync('FindWindowW')
    client.set_breakpoint(addr, singleshoot=True)
    client.go()
    client.wait_until_stopped()
    if client.read_memory(client.get_reg('rdx'), 12) != 'x64dbg'.encode('utf-16-le'):
        raise ValueError("FindWindowW 预期检测 x64dbg")

    client.write_memory(client.get_reg('rdx'), 'zzz'.encode('utf-16-le'))
    client.ret()
    client.stepi()

if __name__ == "__main__":
    bypass_anti_debug(client)
    client.detach_session()