cyberchef_banner_1500

CyberChef est le « couteau suisse cybernétique » (Cyber Swiss-Army Knife) autoproclamé créé par le GCHQ. C'est un outil fantastique pour la transformation, l'extraction et la manipulation de données dans votre navigateur web.

Tout le crédit revient à @GCHQ pour la création de cet outil. Voir : https://gchq.github.io/CyberChef/

Conseils généraux

Téléchargez CyberChef et exécutez-le entièrement côté client. Il n'a pas besoin de connexion Internet, sauf pour certaines opérations. Ainsi, toutes vos données restent en sécurité.
N'essayez pas de forcer CyberChef à faire quelque chose qu'il ne peut pas faire. Il peut faire beaucoup de choses, mais ce n'est pas un langage de programmation complet !

Expressions régulières utiles

Maîtriser les expressions régulières est essentiel pour tirer le meilleur parti de la manipulation de données dans CyberChef (ou pour tout travail de DFIR). Voici quelques regex auxquelles je reviens souvent.

Extraire des données encodées

Extraire du Base64 : [a-zA-Z0-9+/=]{30,}
- Ici, '30' est un nombre arbitraire qui peut être ajusté selon le script.
Extraire de l'hexadécimal : [a-fA-F0-9]{10,}
- Cela peut aussi être ajusté à {32} (MD5), {40} (SHA1), {64}, SHA256 pour extraire divers hachages
Extraire des codes de caractères : [\d]{2,3}(,|’)
- Dans cet exemple, cela extrairait des codes de caractères au format ('30, 40, 50, 60')

Lookaheads et Lookbehinds

Lookbehind positif : (?<=foo)(.*)
- Extrait tout ce qui suit 'foo' sans inclure 'foo'
Lookahead positif : ^.*(?=bar)
- Extrait tout ce qui précède 'bar' sans inclure 'bar'
Combo Lookahead/Lookbehind : (?<=')(.*?)(?=')
- Extrait tout ce qui se trouve entre ' et '

Travailler avec les API et CyberChef

CyberChef fournit une opération HTTP Request (voir Recette 22) qui permet d'envoyer des requêtes HTTP vers des ressources externes. En raison de la politique de même origine (Same Origin Policy, SOP) ou de l'absence de configuration de partage des ressources entre origines (CORS), beaucoup de ces requêtes ne fonctionnent pas. La SOP est une mesure de sécurité des navigateurs modernes qui empêche de lire les réponses cross-site provenant de serveurs qui ne l'autorisent pas explicitement via le CORS. Consultez la présentation de @GlassSec sur CyberChef qui inclut des astuces pour démarrer Chrome sans sécurité web afin de permettre des requêtes HTTP vers des API autrement restreintes (comme Virus Total)