Paul Troncone and Carl Albing Cybersecurity Ops with bash Attack, Defend, and Analyze from the Command Line

Часть II • Защитные операции с использованием bash
Для.получения.дополнительной.информации.о.формате.исполняемых.файлов.
Windows.см..документацию.формата.переносимых.исполняемых.файлов.Microsoft:.
http://bit.ly/2FDm67s
.
Hex-редактор.
.Иногда.вам.может.потребоваться.отобразить.и.отредактировать.
файл.в.шестнадцатеричном.формате..Для.этого.следует.использовать.команду.
xxd
.
при.работе.с.редактором.
vi
..Сначала,.как.обычно,.в.
vi
.откройте.файл,.который.
хотите.отредактировать:
vi helloworld
Открыв.файл,.введите.следующую.команду:
:%!xxd
В.
vi
.символ.
%
.представляет.диапазон.адресов.всего.файла,.а.символ.
!
.можно.ис-
пользовать.для.выполнения.команды.оболочки,.заменяя.исходные.строки.выводом.
команды..Объединение.этих.двух.символов,.как.показано.в.предыдущей.команде.
(
:%!xxd
),.вызовет.текущий.файл.через.
xxd
.(или.любую.команду.оболочки).и.оста-
вит.результаты.в.
vi
:
00000000: 7f45 4c46 0201 0100 0000 0000 0000 0000 .ELF............
00000010: 0200 3e00 0100 0000 3004 4000 0000 0000 ..>.....0.@.....
00000020: 4000 0000 0000 0000 efbf bd19 0000 0000 @...............
00000030: 0000 0000 0000 4000 3800 0900 4000 1f00 ......@.8...@...
00000040: 1c00 0600 0000 0500 0000 4000 0000 0000 ..........@.....
.
.
.
После.внесения.изменений.можно.вернуть.файл.в.обычное.состояние.с.помощью.
команды.
vi:%!xxd
.
-r
..По.завершении.запишите.внесенные.изменения.(
ZZ
)..Конеч-
но,.в.любой.момент.можно.просто.выйти.без.записи.внесенных.изменений.(
:q!
).
Чтобы преобразовать загруженный в vi файл в стандарт кодирования Base64, вве-
дите :%!Base64. Чтобы преобразовать из Base64 обратно, введите :%!Base64 -d.
Извлечение строк
Один.из.основных.методов.анализа.неизвестного.исполняемого.файла.—.извлече-
ние.всех.содержащихся.в.файле.строк.ASCII..Из.этих.строк.мы.можем.получить.
такие.данные,.как.имена.файлов,.пути,.IP-адреса,.имена.авторов,.информацию.

---