PESTO: أداة إحصائية لملفات PE

الوصف

PESTO هو سكريبت بايثون يقوم باستخراج وحفظ بعض خصائص الأمان أو الأعلام الخاصة بملفات PE في قاعدة بيانات، مع البحث عن كل ملف PE ثنائي في دليل كامل وحفظ النتائج في قاعدة بيانات.

يقوم بالتحقق من علم البنية في الترويسة، والأعلام الأمنية التالية: ASLR و NO_SEH و DEP و CFG. الكود واضح بما يكفي لتعديل الأعلام والتنسيقات حسب احتياجاتك.

مزيد من التفاصيل وشرح الأعلام هنا: https://www.slideshare.net/elevenpaths/anlisis-del-nivel-proteccin-antiexploit-en-windows-10

الوظائف

يحتاج السكريبت فقط إلى مسار ووسم (tag). سيمر البرنامج عبر المسار والمجلدات الفرعية بحثًا عن ملفات .DLL و .EXE واستخراج الأعلام من ترويسة PE (بفضل مكتبة PEfile البايثونية).

يتطلب البرنامج وسمًا سيُستخدم كلاحقة لأسماء ملفات السجل وقاعدة البيانات، بحيث يمكن إجراء تحليلات مختلفة في نفس الدليل.

المعلومات التي يوفرها السكريبت هي:

• نسبة ملفات .DLL و .EXE ذات بنية i386 أو AMD64 أو IA64 أو غيرها.
• نسبة تمكين أو تعطيل أعلام ASLR و NO_SEH و DEP و CFG في الترويسات.
• بعد انتهاء التحليل، سيطلب تصدير النتائج بصيغة SQL أو CSV.

سيقوم أيضًا بإنشاء ملف .db وهو ملف sqlite يحتوي على المعلومات التي تم جمعها.

أدوات ذات صلة

• https://github.com/olliencc/WinBinaryAudit
• https://blog.netspi.com/verifying-aslr-dep-and-safeseh-with-powershell/
• https://github.com/angelorighi/pescheck/blob/master/pescheck.py