Paul Troncone and Carl Albing Cybersecurity Ops with bash Attack, Defend, and Analyze from the Command Line

170
Часть II • Защитные операции с использованием bash
Таблица 11.1.
Общие команды vi
Команда
Назначение
b
Одно.слово.назад
cc
Заменить.текущую.строку
cw
Заменить.текущее.слово
dw
Удалить.текущее.слово
dd
Удалить.текущую.строку
:w
Записать/сохранить.файл
:w.
filename
Записать/сохранить.файл.с.именем.
filename
:q!
Выйти.без.сохранения
ZZ
Сохранить.и.выйти
:set.number
Показать.номера.строк
/
Поиск.вперед
?
Поиск.в.обратном.направлении
n
Найти.следующее.вхождение
Полный.обзор.
vi
.выходит.за.рамки.этой.книги..Для.получения.дополнительной.
информации.вы.можете.посетить.страницу.редактора.Vim.(
https://www.vim.org/
).
xxd
Команда.
xxd
.выводит.на.экран.файл.в.двоичном.или.шестнадцатеричном.формате.
Общие параметры команды
‰
‰
-b
.—.отобразить.файл.с.использованием.двоичного,.а.не.шестнадцатеричного.
формата.
‰
‰
-l
.—.вывести.количество.байт.двоичного.или.шестнадцатеричного.файла.
‰
‰
-s
.—.начать.печать.с.позиции.байта.
n
.
Пример команды
Для.отображения.файла.
somefile.txt
.начать.печать.с.35-го.байта.и.распечатать.
следующие.50.байт:
xxd -s 35 -l 50 somefile.txt

---

Глава 11. Анализ вредоносных программ
171
Реверс-инжиниринг
Подробности.того,.как.выполнить.реверс-инжиниринг.(reverse-engineering).дво-
ичного.кода,.выходят.за.рамки.этой.книги..Тем.не.менее.мы.рассмотрим,.как.ис-
пользовать.стандартную.командную.строку.для.проведения.реверс-инжиниринга..
Описанные.методы.анализа.с.помощью.командной.строки.не.заменяют.такие.ин-
струменты,.как.IDA.Pro.или.OllyDbg;.они.скорее.предназначены.для.расширения.
возможностей.этих.инструментов.или.для.предоставления.некоторого.недоступ-
ного.ранее.функционала.
Подробную информацию об анализе вредоносных программ см. в книге «Вскрытие 
покажет! Практический анализ вредоносного ПО» Майкла Сикорски и Эндрю Хо-
нига (Питер, 2018). Дополнительную информацию о компании IDA Pro вы найдете 
в книге Криса Игла (Chris Eagle) The IDA Pro Book (No Starch Press).
Шестнадцатеричные, десятичные, двоичные 
и ASCII-преобразования
При.анализе.файлов.важно.иметь.возможность.их.простого.перекодирования.из.
десятичного.формата.в.шестнадцатеричный.или.ASCII.и.наоборот..К.счастью,.это.
можно.легко.сделать.из.командной.строки..Например,.возьмем.шестнадцатерич-
ное.значение.0x41..Можно.использовать.команду.
printf
.для.его.преобразования.
в.десятичный.формат.с.помощью.строки.формата.
"%d"
:
$ printf "%d" 0x41
65
Чтобы.преобразовать.десятичное.число.обратно.в.шестнадцатеричное,.замените.
символы,.определяющие.формат,.на.
%x
:
$ printf "%x" 65
41
Чтобы.преобразовать.из.ASCII.в.шестнадцатеричный,.можно.передать.символ.из.
команды.
printf
.в.команду.
xxd
:
$ printf 'A' | xxd
00000000: 41

---

172