cyberchef_banner_1500

CyberChef هي 'سكين الجيش السويسري السيبراني' (Cyber Swiss-Army Knife) كما تسمي نفسها، وهي من إنشاء GCHQ. إنها أداة رائعة لتحويل البيانات واستخراجها ومعالجتها في متصفح الويب لديك.

يعود الفضل الكامل إلى @GCHQ في إنتاج الأداة. انظر: https://gchq.github.io/CyberChef/

نصائح عامة

قم بتنزيل CyberChef وتشغيله بالكامل على جهة العميل (client-side). لا يحتاج إلى اتصال بالإنترنت باستثناء بعض العمليات. بهذه الطريقة تكون جميع بياناتك آمنة.
لا تحاول حشر CyberChef في شيء لا يمكنه القيام به. يمكنه فعل الكثير ولكنه ليس لغة برمجة مكتملة!

تعبيرات نمطية مفيدة

إن إتقان التعبيرات النمطية هو المفتاح لتحقيق أقصى استفادة من معالجة البيانات في CyberChef (أو أي عمل في مجال DFIR). فيما يلي بعض التعبيرات النمطية التي أعود إليها باستمرار.

استخراج البيانات المرمزة

استخراج Base64: [a-zA-Z0-9+/=]{30,}
- هنا '30' رقم اعتباطي يمكن تعديله وفقًا للبرنامج النصي.
استخراج Hexadecimal: [a-fA-F0-9]{10,}
- يمكن أيضًا تعديل هذا إلى {32} (MD5)، أو {40} (SHA1)، أو {64}، أو SHA256 لاستخراج تجزئات مختلفة
استخراج رموز الأحرف: [\d]{2,3}(,|’)
- في هذا المثال سيتم استخراج رموز الأحرف بالتنسيق ('30, 40, 50, 60')

النظر إلى الأمام وإلى الخلف (Lookaheads & Lookbehinds)

النظرة الخلفية الموجبة (Positive Lookbehind): (?<=foo)(.*)
- استخراج كل ما بعد 'foo' دون تضمين 'foo'
النظرة الأمامية الموجبة (Positive Lookahead): ^.*(?=bar)
- استخراج كل ما قبل 'bar' دون تضمين 'bar'
مزيج النظرة الأمامية/الخلفية (Lookahead/behind Combo): (?<=')(.*?)(?=')
- استخراج كل ما بين ' و '

العمل مع APIs وCyberChef

توفر CyberChef عملية HTTP Request (انظر الوصفة 22) والتي تسمح بإجراء طلبات HTTP إلى موارد خارجية. نظرًا لسياسة الأصل نفسه (Same Origin Policy - SOP) أو عدم وجود إعدادات مشاركة الموارد عبر الأصول (Cross-Origin Resource Sharing - CORS)، فإن العديد منها لا يعمل. SOP هي إجراء أمني في المتصفحات الحديثة يمنعك من قراءة الاستجابات عبر المواقع (cross-site) من الخوادم التي لا تسمح بذلك صراحةً عبر CORS. اطلع على محاضرة @GlassSec عن CyberChef والتي تتضمن نصائح لتشغيل Chrome بدون web-security لتمكين طلبات HTTP إلى واجهات برمجة تطبيقات مقيدة بخلاف ذلك (مثل Virus Total)