Unicorn一个轻量级的多平台、多架构CPU仿真器框架

Unicorn 是一个轻量级、多平台、多架构的 CPU 仿真器框架，基于 QEMU。

突出特点

多架构：ARM、ARM64 (ARMv8)、m68k、MIPS、PowerPC、RISC-V、S390x (SystemZ)、SPARC、TriCore 和 x86（包括 x86_64）。
干净/简单/轻量级/直观的架构中立 API。
用纯 C 语言实现，可绑定 Pharo、Crystal、Clojure、Visual Basic、Perl、Rust、Haskell、Ruby、Python、Java、Go、D、Lua、JavaScript、.NET、Delphi/Pascal 和 MSVC。
通过使用即时编译器技术实现高性能。
支持各个级别的细粒度检测。
设计上是线程安全的。
根据自由软件许可证 GPLv2 分发。

使用示例

「Qiling 框架」：跨平台、多架构的轻量级沙箱。

Linux 计算机上模拟 Windows EXE

使用 Qiling Framework 在 Linux 机器上模拟 Windows 二进制文件。

示例代码

from qiling import *

# sandbox to emulate the EXE
def my_sandbox(path, rootfs):
    # setup Qiling engine
    ql = Qiling(path, rootfs)
    # now emulate the EXE
    ql.run()

if __name__ == "__main__":
    # execute Windows EXE under our rootfs
    my_sandbox(["examples/rootfs/x86_windows/bin/x86_hello.exe"], "examples/rootfs/x86_windows")

模拟 Windows 注册表

使用 Qiling Framework 模拟 Windows 注册表

import sys
sys.path.append("..")
from qiling import *
from qiling.const import QL_VERBOSE

def my_sandbox(path, rootfs):
    ql = Qiling(path, rootfs, verbose=QL_VERBOSE.DEBUG)
    ql.run()


if __name__ == "__main__":
    my_sandbox(["rootfs/x86_windows/bin/RegDemo.exe"], "rootfs/x86_windows")

动态修补 Windows crashme

使用 Qiling Framework 动态修补 Windows Crackme 并使其始终显示“恭喜”对话框。

from qiling import *

def force_call_dialog_func(ql):
    # get DialogFunc address
    lpDialogFunc = ql.unpack32(ql.mem.read(ql.arch.regs.esp - 0x8, 4))
    # setup stack memory for DialogFunc

    ql.stack_push(0)
    ql.stack_push(1001)
    ql.stack_push(273)
    ql.stack_push(0)
    ql.stack_push(0x0401018)
    # force EIP to DialogFunc
    ql.arch.regs.eip = lpDialogFunc


def my_sandbox(path, rootfs):
    ql = Qiling(path, rootfs)
    # NOP out some code
    ql.patch(0x004010B5, b'x90x90')
    ql.patch(0x004010CD, b'x90x90')
    ql.patch(0x0040110B, b'x90x90')
    ql.patch(0x00401112, b'x90x90')
    # hook at an address with a callback
    ql.hook_address(force_call_dialog_func, 0x00401016)
    ql.run()


if __name__ == "__main__":
    my_sandbox(["rootfs/x86_windows/bin/Easy_CrackMe.exe"], "rootfs/x86_windows")