mandiant/heyserialإنشاء قواعد صيد برمجيًا لاستغلال إلغاء التسلسل (Deserialization) باستخدام كلمات مفتاحية متعددة، وسلاسل الأدوات (Gadget Chains)، وأنواع الكائنات، والتشفيرات، وأنواع القواعد
المؤلف: أليسا رحمان @ramen0x3f
تاريخ الإنشاء: 2021-10-27
آخر تحديث: 2021-12-02
المدونة: https://www.mandiant.com/resources/hunting-deserialization-exploits
لمزيد من التفاصيل حول هذه الأداة وعملية البحث وراءها، اطّلع على مدونتنا.
أنشئ قواعد صيد لاستغلال إلغاء التسلسل برمجيًا باستخدام العديد من:
القواعد التي تُنشئها هذه الأداة مخصصة لأغراض الصيد/البحث وليست مصممة لأغراض عالية الدقة/الحظر.
يرجى الاختبار بدقة قبل النشر على أي أنظمة إنتاجية.
قواعد Yara مخصصة بشكل أساسي لمسح سجلات خوادم الويب. بعض "بادئات الكائنات" يبلغ طولها 2 بايت فقط، مما قد يجعل عمليات المسح الكبيرة بطيئة بعض الشيء. (ترجمة: من فضلك لا تضعها كلها في VT Retrohunt.)
المساعدة:
python3 heyserial.py -h
أمثلة:
python3 heyserial.py -c 'ExampleChain::condition1+condition2' -t JavaObj
python3 heyserial.py -k cmd.exe whoami 'This file cannot be run in DOS mode'
python3 heyserial.py -k Process.Start -t NETViewState -e base64 "base64+utf16le"
هذه أداة لأتمتة الاختبار الجماعي لقواعد Snort وYara على مجموعة متنوعة من ملفات العينات.
الاستخدام:
python3 checkyoself.py [-y rules.yara] [-s rules.snort] [-o file_output_prefix] [--matches] [--misses] -d malware.exe malware.pcap
أمثلة:
python3 checkyoself.py -y rules/javaobj -s rules/javaobj -d payloads/javaobj pcaps --misses -o java_misses
توليد حمولات YSoSerial.NET v1.34. يُشغّل على ويندوز من الدليل ./utils.
توليد حمولات YSoSerial. يُشغّل على لينكس من الدليل ./utils.
كان تثبيت Snort على نظام مبني على Debian صعبًا بعض الشيء بالنسبة لي، لذلك كتبت ملاحظات التثبيت هنا.
استخدم على مسؤوليتك الخاصة في جهاز افتراضي لديك لقطة حديثة له.
نص بايثون بسيط يشغل خادم HTTP على 127.0.0.1:12345 ويقبل طلبات POST.
مفيد لتوليد ملفات PCAP اختبارية.
حقوق النشر (C) 2021 أليسا رحمان، شركة ماندينت. جميع الحقوق محفوظة. مرخص بموجب رخصة أباتشي، الإصدار 2.0 (الترخيص)؛ لا يجوز لك استخدام هذا الملف إلا وفقًا للترخيص. يمكنك الحصول على نسخة من الترخيص على: [package root]/LICENSE.txt ما لم ينص القانون المعمول به أو يتم الاتفاق عليه كتابيًا، يتم توزيع البرنامج المرخص بموجب الترخيص على أساس "كما هو"، دون أي ضمانات أو شروط من أي نوع، سواء كانت صريحة أو ضمنية. انظر الترخيص لمعرفة الأذونات والقيود المحددة التي تحكم استخدامك.
اطّلع على دليل المطورين (DEVELOPERS.md) لمزيد من التفاصيل حول توسيع HeySerial!
الأدوات
الثغرات
المحاضرات والكتابات