ghidra_scripts

shellcode_hashes

ShellCode_Hashsは、フレアの同じ名前のスクリプトに触発されて作成されました。
シェルコードで使用されるハッシュに一致する名前を見つけます。
フレアスクリプトによって作成されたデータベースを使用します。

sqlite2json.py

GhidraはSqliteをインポートできなかったため、JSONに変換するスクリプトを作成しました。
次のコマンドで変換します。

 python sqlite2json.py

shellcode_hash_search.py

ターゲットシェルコードを開き、スクリプトを実行します。

nonzero_xor_search.py

ソースと宛先のオペランドが同等ではないXOR命令を見つけます。
ブックマークに登録されています。

coloring_call_jmp.py

コールとJMPの指示の着色。
次の指示を色付けします

• 電話
• je
• JZ
• jne
• jnz
• JA
• ジェ
• JBE
• JB
• jl
• jle
• jg
• jge

stackstrings.py

Godzilla Loaderが使用するDeobfuscate Stackstrings。

前に

後

コンソール出力