Un paquet Zeek ELF

Ce paquet implémente :

• ELF

TLDR !

Si vous avez zkg et que vous avez déjà exécuté...

zkg autoconfig

... alors vous pouvez installer ce paquet comme suit :

sudo zkg install zeek-elf

Maintenant, dans n'importe quel script Zeek, chargez simplement le plugin et cela « fonctionne » :

@load Zeek/ELF

Les nouveaux événements pour ce plugin se trouvent dans events.bif.

Compilation et installation

Ce plugin peut être compilé avec :

./configure --zeek-dist=/your/zeek/src/dir
make
sudo make install

Utiliser ELF

Le fichier pcap de test :

https://github.com/corelight/zeek-elf/blob/master/tests/Traces/all_executables.pcap

Les binaires de ce pcap proviennent de :

https://github.com/JonathanSalwan/binary-samples

Une fois installé, ce plugin peut être chargé avec le script Zeek suivant :

@load Zeek/ELF

event file_elf(f: fa_file)
    {
    print "ELF";
    }

event file_elf_header(f: fa_file, m: Zeek::ELFHeader)
    {
    print "====";
    print "ELF HEADER";
    print m$signature;
    print "====";
    }

La sortie devrait ressembler à ceci :

% zeek -r pcaps/all_binaries.pcap -C elf.zeek
ELF
====
ELF HEADER
2135247942
====
ELF
====
ELF HEADER
2135247942
====
ELF
====
ELF HEADER
2135247942
====
ELF
====
ELF HEADER
2135247942
====
ELF
====
ELF HEADER
2135247942
====
ELF
====
ELF HEADER
2135247942
====
ELF
====
ELF HEADER
2135247942
====
ELF
====
ELF HEADER
2135247942
====
ELF
====
ELF HEADER
2135247942
====
ELF
====
ELF HEADER
2135247942
====
ELF
====
ELF HEADER
2135247942
====
ELF
====
ELF HEADER
2135247942
====
ELF
====
ELF HEADER
2135247942
====
ELF
====
ELF HEADER
2135247942
====
ELF
====
ELF HEADER
2135247942
====
ELF
====
ELF HEADER
2135247942
====
ELF
====
ELF HEADER
2135247942
====
ELF
====
ELF HEADER
2135247942
====
ELF
====
ELF HEADER
2135247942
====
ELF
====
ELF HEADER
2135247942
====
ELF
====
ELF HEADER
2135247942
====
ELF
====
ELF HEADER
2135247942
====
ELF
====
ELF HEADER
2135247942
====
ELF
====
ELF HEADER
2135247942
====
ELF
====
ELF HEADER
2135247942
====
ELF
====
ELF HEADER
2135247942
====
ELF
====
ELF HEADER
2135247942
====
ELF
====
ELF HEADER
2135247942
====
ELF
====
ELF HEADER
2135247942
====