
Blob-Dateien im Ethereum-Blockchain-Netzwerk suchen und extrahieren
Suche und extrahiere Blob-Dateien im Ethereum-Netzwerk mithilfe der Etherscan.io API.

EtherBlob Explorer ist ein Werkzeug für Forscher, Analysten, CTF-Spieler oder jeden Neugierigen, der nach verschiedenen Dateiarten oder jeglichen sinnvollen, von Menschen bereitgestellten Daten im Ethereum-Blockchain-Netzwerk suchen möchte. Es durchsucht einen benutzerdefinierten Bereich von Block-IDs oder UNIX-Zeitstempeln in einem der 5 verfügbaren Netzwerke: MainNet, Görli, Kovan, Rinkeby und Ropsten.
Ein reales Anwendungsbeispiel findest du in diesem Experiment aus dem Jahr 2017. Die Unveränderlichkeit der Blockchain kann wahrlich ein zweischneidiges Schwert sein.
Führe den folgenden Befehl aus:
$ pip install git+https://github.com/litneet64/etherblob-explorer.git
Jetzt ist es bereit für die Verwendung über die CLI; unten findest du einige gängige Anwendungsbeispiele!
Suche in einem der fünf Ethereum-Netzwerke:
Dieses Werkzeug kann an den folgenden Orten suchen, entweder einzeln oder in beliebiger Kombination im selben Durchlauf:
[*] Das Speichern von Daten in 'to'-Adressen ist im Ethereum-Netzwerk möglich, da nicht überprüft wird, ob an eine Adresse gesendet wird, die keine zugehörigen Kontoschlüssel besitzt. Das bedeutet, du kannst Transaktionen an beliebige Adressen durchführen, um eine Nutzlast über mehrere 20-Byte-große Transaktionen zu basteln (sehr selten, aber einige CTF-Herausforderungen sind so).
Alle diese Methoden können entweder einzeln oder in beliebiger Kombination verwendet werden:
binwalk.file (Standardmethode).WICHTIG: Die hier gezeigte Reihenfolge wird intern verwendet, um Suchen mit anderen Methoden zu verwerfen (z. B. wenn eine Datei über eingebettete Dateien gefunden wird, wird nicht versucht, sie mit Datei-Header, ASCII-String-Dump oder Entropie zu suchen), da es unwahrscheinlich ist, etwas Sinnvolles zu finden, wenn vorherige Methoden bereits erfolgreich waren.
-h)!.api-key) und zwischen diesen beiden Block-IDs (inklusive):$ etherblob 4081599 4081600
$ etherblob -K api.key 3134050 3145570 -M -H --network goerli
$ etherblob 4081599 4081600 --blocks --transactions -D extracted/
25. Jan. 2021 19:00:00 und 26. Jan. 2021 19:00:00 bestätigt wurden:$ etherblob -t 1611601200 1611687600 --addresses
$ etherblob 3911697 3912697 -S --contracts -C 4
$ etherblob 4081599 4081600 --encrypted
$ etherblob 3911697 3912697 -E 4.0 5.0 -s
$ etherblob -t 1608836400 1608922800 --blocks --transactions --strings
$ etherblob 4081599 4081600 -U -S -M -H --blocks --transactions --addresses --contracts
Weitere Erläuterungen zu fortgeschrittenen Anwendungsfällen und den damit gefundenen Dingen findest du im Wiki!
usage: etherblob [-h] [--transactions] [--blocks] [--addresses] [--contracts]
[--network {main,goerli,kovan,rinkeby,ropsten}] [-H] [-M] [-U] [-E CUSTOM_ENTROPY CUSTOM_ENTROPY]
[--encrypted] [-S] [-C CONTRACT_POSITION] [-t] [-K API_KEY_PATH] [-k API_KEY] [-D OUTPUT_DIR]
[-o OUT_LOG] [-s] [-i [IGNORED_FMT [IGNORED_FMT ...]]] [--version]
start_block end_block
Tool to search and extract blob files on the Ethereum Network.
positional arguments:
start_block Start of block id range.
end_block End of block id range.
optional arguments:
-h, --help show this help message and exit
--transactions Search for blob files on transaction inputs. Default search mode.
--blocks Search for blob files on block inputs. If enabled then transaction input check is disabled unless
explicitly enabled.
--addresses Search for blob files on 'to' transaction addresses, as on Ethereum anyone can make transactions
to an arbitrary address even if it has no related owner (still not very common). If enabled then
transaction's input check is disabled unless explicitly enabled.
--contracts Search for blob files on contract's storage. If enabled then transaction input check is disabled
unless explicitly enabled.
--network {main,goerli,kovan,rinkeby,ropsten}, -N {main,goerli,kovan,rinkeby,ropsten}
Choose blockchain network to search in. Available choices are Main, Goerli (Görli), Kovan, Rinkeby
and Ropsten. MainNet is the default network. Case-insensitive.
-H, --file-header If enabled, search for file formats via magic bytes/file headers on data (from blocks,
transactions or addresses). Enabled by default unless another method is enabled too.
-M, --embedded If enabled, search for embedded files on data (from blocks, transactions or addresses) via
binwalk. Disabled by default as parsing now takes longer.
-U, --unicode If enabled, attempt to search and dump files containing UTF-8 text from harvested data (blocks,
transactions, addresses) using Shannon's Entropy (between 3.5 and 5.0) if no other discernible
file is found first on that data. Yields many false positives.
-E CUSTOM_ENTROPY CUSTOM_ENTROPY, --custom-entropy CUSTOM_ENTROPY CUSTOM_ENTROPY
Define your own entropy limits (min and max) to search for files/data on harvested data.
--encrypted If enabled, attempt to search and dump encrypted/compressed data found via different search
methods (blocks, transactions, addresses) using Shannon's Entropy (between 7.0 and 8.0) if no
other discernible file is found first on that data.
-S, --strings If enabled, attempt to search and dump ASCII strings into files found inside harvested data
(blocks, transactions, addresses) if no other discernible file is found first on that data.
-C CONTRACT_POSITION, --contract-position CONTRACT_POSITION
Search inside contract's data until reaching the (N-1)th position on its storage array. Positions
contain 32 bytes worth of data. Count starts at 0 and default pos is the 15th pos (16 indexes in
total) if no custom position is given.
-t, --timestamps If enabled, then start and end block IDs are interpreted as UNIX timestamps that are then resolved
to the closest commited blocks for those specific times.
-K API_KEY_PATH, --api-key-path API_KEY_PATH
Path to file with Etherscan API key for queries. Default search location is '.api-key'.
-k API_KEY, --api-key API_KEY
Etherscan API key as parameter. If given then '--api-key-path' is ignored.
-D OUTPUT_DIR, --output-dir OUTPUT_DIR
Out-dir for extracted files. Default is 'ext_{start block}-{end block}'.
-o OUT_LOG, --out-log OUT_LOG
Out-file for logs. Default is 'etherblob_{start block}-{end block}.log'.
-s, --save-transactions
If enabled, all transactions and their info are stored at file 'transactions_{start-block}-{end-
block}.txt'
-i [IGNORED_FMT [IGNORED_FMT ...]], --ignored-fmt [IGNORED_FMT [IGNORED_FMT ...]]
Ignored file formats for extraction. Default ignored/common file formats are 'ISO-8859 text' and
'Non-ISO extended-ASCII text'. The 'data' file format is always ignored. Accepts file format
substrings and makes case-insensitive matches. '*' is a wildcard to ignore all file formats.
--version show program's version number and exit
Official GitHub repo 'https://github.com/litneet64/etherblob-explorer'