EvilTree

Ein eigenständiger Python3-Nachbau des klassischen „tree“-Befehls mit der zusätzlichen Funktion, nach benutzerdefinierten Schlüsselwörtern/Regex in Dateien zu suchen und diejenigen hervorzuheben, die Übereinstimmungen enthalten. Entwickelt aus zwei Hauptgründen:

• Bei der Suche nach Geheimnissen in Dateien mit verschachtelten Verzeichnisstrukturen bietet es einen erheblichen Vorteil, visualisieren zu können, welche Dateien benutzerdefinierte Schlüsselwörter/Regex-Muster enthalten und wo diese Dateien in der Hierarchie der Ordner liegen.
• „tree“ ist ein großartiges Werkzeug zur Analyse von Verzeichnisstrukturen. Es ist sehr praktisch, eine eigenständige Alternative des Befehls für die Post-Exploitation-Erkundung zu haben, da er nicht auf jeder Linux-Distribution vorinstalliert ist und unter Windows (im Vergleich zur UNIX-Version) eher eingeschränkt ist.

Anwendungsbeispiele

Beispiel #1: Ausführen einer Regex, die im Wesentlichen Strings wie password = something sucht, gegen /var/www

Beispiel #2: Verwenden von kommagetrennten Schlüsselwörtern anstelle von Regex:

Hinweis: Nur unter Windows 10 Pro getestet.

Schnellbefehle

python3 eviltree.py -r C:\xampp -k password,passwd,admin -i -v -q 
python3 eviltree.py -r /var/www -x ".{0,3}passw.{0,3}[=]{1}.{0,18}" -i -v -q -L 3
python3 eviltree.py -r / -x ".{0,3}passw.{0,3}[=]{1}.{0,18}" -i -v -q -A -f -L 3

Weitere Optionen & Nutzungstipps

Bemerkenswerte Funktionen:

• Die Regex-Suche -x gibt tatsächlich eine eindeutige Liste aller gefundenen Muster in einer Datei zurück. Sei vorsichtig bei der Kombination mit -v (--verbose); versuche genau zu sein und die Länge der zu suchenden Zeichen zu begrenzen.
• Du kannst auch in Binärdateien nach Schlüsselwörtern/Regex suchen, indem du die Option -b angibst.
• Du kannst dieses Tool wie den klassischen „tree“-Befehl verwenden, wenn du keine Schlüsselwörter -k und Regex -x angibst. Dies ist nützlich, wenn du eine eingeschränkte Shell auf einem Rechner hast und „tree“ mit farbiger Ausgabe nutzen möchtest, um dich umzusehen.
• Es gibt eine Listen-Variable filetype_blacklist in eviltree.py, mit der bestimmte Dateiendungen von der Inhaltssuche ausgeschlossen werden können. Standardmäßig sind folgende ausgeschlossen: gz, zip, tar, rar, 7z, bz2, xz, deb, img, iso, vmdk, dll, ovf, ova.
• Eine sehr nützliche Funktion ist die Option -i (--interesting-only). Sie weist eviltree an, nur Dateien mit passenden Schlüsselwörtern/Regex-Inhalten aufzulisten, was die Ausgabe erheblich verkürzt:

Nützliche Schlüsselwörter/Regex-Muster

• Regex zum Suchen nach Passwörtern: -x ".{0,3}passw.{0,3}[=]{1}.{0,18}"
• Schlüsselwörter zum Suchen nach sensiblen Informationen: -k passw,db_,admin,account,user,token