cyberchef_banner_1500

CyberChef ist das selbsternannte „Cyber-Schweizer-Taschenmesser“ von GCHQ. Es ist ein fantastisches Werkzeug für Datentransformation, -extraktion und -manipulation direkt im Webbrowser.

Alle Anerkennung gebührt @GCHQ für die Entwicklung des Tools. Siehe: https://gchq.github.io/CyberChef/

Allgemeine Tipps

Laden Sie CyberChef herunter und führen Sie es vollständig clientseitig aus. Es benötigt außer für bestimmte Operationen keine Internetverbindung. Auf diese Weise sind alle Ihre Daten sicher.
Versuchen Sie nicht, CyberChef in eine Rolle zu zwängen, die es nicht erfüllen kann. Es kann eine Menge, ist aber keine vollwertige Programmiersprache!

Nützliche reguläre Ausdrücke

Kenntnisse über reguläre Ausdrücke sind der Schlüssel, um die Datenmanipulation in CyberChef (oder bei jeder DFIR-Arbeit) optimal zu nutzen. Im Folgenden finden Sie einige reguläre Ausdrücke, auf die ich immer wieder zurückkomme.

Extrahieren kodierter Daten

Base64 extrahieren: [a-zA-Z0-9+/=]{30,}
- Hier ist „30“ eine beliebige Zahl, die je nach Skript angepasst werden kann.
Hexadezimal extrahieren: [a-fA-F0-9]{10,}
- Dies kann auch auf {32} (MD5), {40} (SHA1), {64}, SHA256 angepasst werden, um verschiedene Hashes zu extrahieren
Zeichencodes extrahieren: [\d]{2,3}(,|’)
- In diesem Beispiel würden Zeichencodes im Format ('30, 40, 50, 60') extrahiert

Lookaheads & Lookbehinds

Positive Lookbehind: (?<=foo)(.*)
- Extrahiert alles nach „foo“, ohne „foo“ einzuschließen
Positive Lookahead: ^.*(?=bar)
- Extrahiert alles vor „bar“, ohne „bar“ einzuschließen
Lookahead/Lookbehind-Kombination: (?<=')(.*?)(?=')
- Extrahiert alles zwischen ' und '

Arbeiten mit APIs und CyberChef

CyberChef bietet eine Operation HTTP Request (siehe Rezept 22), mit der HTTP-Anfragen an externe Ressourcen gesendet werden können. Aufgrund der Same Origin Policy (SOP) oder fehlender Cross-Origin-Resource-Sharing-Konfiguration funktionieren viele davon nicht. SOP ist eine Sicherheitsmaßnahme in modernen Browsern, die verhindert, dass Sie standortübergreifende Antworten von Servern lesen können, die dies nicht ausdrücklich über CORS erlauben. Schauen Sie sich @GlassSecs Vortrag über CyberChef an, der Tipps enthält, wie Sie Chrome ohne Web-Security starten, um HTTP-Anfragen an andernfalls eingeschränkte APIs (wie Virus Total) zu ermöglichen.