ghidra_scripts

shellcode_hashes

Shellcode_hashs foi criado inspirado em um script com o mesmo nome em Flare.
Encontre o nome que corresponde ao hash usado no código de shell.
Use o banco de dados criado pelo script Flare.

sqlite2json.py

Como Ghidra não pôde importar o SQLite, criei um script para convertê -lo em JSON.
Converter com o seguinte comando:

 python sqlite2json.py

shellcode_hash_search.py

Abra o código de shell de destino e execute o script.

imobiliário_xor_search.py

Encontra instruções XOR cujos operando de origem e destino não são equivalentes.
Está registrado no marcador.

coloring_call_jmp.py

Coloração de instruções de chamada e JMP.
Colorir as seguintes instruções

• CHAMAR
• JE
• Jz
• Jne
• JNZ
• JA
• Jae
• JBE
• JB
• JL
• Jle
• Jg
• Jge

Stackstrings.py

Deobfuscate Stackstrings usados ​​pelo carregador Godzilla.

antes

depois

saída do console