Paul Troncone and Carl Albing Cybersecurity Ops with bash Attack, Defend, and Analyze from the Command Line

Глава 11. Анализ вредоносных программ
175
о.компиляторе,.URL-адреса.и.другую.ценную.информацию.о.функциональности.
или.происхождении.программы.
Команда.
strings
.может.извлекать.для.нас.данные.ASCII,.но.по.умолчанию.она.
недоступна.для.многих.дистрибутивов,.включая.Git.Bash..Чтобы.решить.эту.про-
блему,.можно.воспользоваться.хорошей.командой.
egrep
:
egrep -a -o '\b[[:print:]]{2,}\b' somefile.exe
Это.регулярное.выражение.выполняет.поиск.в.указанном.файле.двух.или.более.
(здесь.конструкция.
{2,}
).печатаемых.символов.в.строке,.которые.отображаются.
как.непрерывное.слово..С.помощью.параметра.
-а
.двоичный.исполняемый.файл.
обрабатывается.как.текстовый..Параметр.
-o
.выводит.только.соответствующий.
текст,.а.не.всю.строку,.тем.самым.устраняя.любые.непечатаемые.двоичные.дан-
ные..Поиск.осуществляется.по.двум.или.более.символам,.поскольку.одиночные.
символы.вполне.вероятны.в.любом.двоичном.байте.и,.таким.образом,.не.являются.
значимыми.
Чтобы.сделать.вывод.еще.более.чистым,.можно.с.помощью.параметра.
-u
.отсорти-
ровать.результаты,.удалив.при.этом.все.дубликаты:
egrep -a -o '\b[[:print:]]{2,}\b' somefile.exe | sort -u
Возможно,.было.бы.полезно.отсортировать.строки.по.размеру,.от.самых.длинных.
до.самых.коротких,.так.как.наиболее.длинные.строки.чаще.содержат.интересную.
информацию..В.исходном.виде.команда.
sort
.не.предоставляет.возможности.для.
выполнения.этой.задачи..В.дополнение.вместе.с.ней.можно.использовать.команду.
awk
:
egrep -a -o '\b[[:print:]]{2,}\b' somefile.exe |
awk '{print length(), $0}' | sort -rnu
В.данном.случае.вы.сначала.отправляете.вывод.
egrep
.в.
awk
,.чтобы.увеличить.длину,.
добавив.символы.в.начале.каждой.строки..Затем.этот.вывод.сортируется.в.обрат-
ном.порядке,.а.дубликаты.удаляются.
Метод.извлечения.строк.из.исполняемого.файла.имеет.свои.ограничения..Если.стро-
ка.не.является.непрерывной,.то.есть.непечатаемые.символы.находятся.между.
печатаемыми.символами,.разделяя.их,.то.будет.выводиться.набор.отдельных.сим-
волов,.а.не.целая.строка..Иногда.это.просто.артефакт,.полученный.при.создании.
исполняемого.файла..Но.разработчики.вредоносных.программ.могут.специально.
добавить.непечатаемые.символы,.чтобы.избежать.обнаружения..Для.аналогичной.
маскировки.существования.строк.в.двоичном.файле.они.также.могут.использовать.
кодировку.или.шифрование.

---

176