pan-unit42/dotnetfileBibliothèque Python pour analyser les métadonnées CLR/PE des assemblys .NET, exposant les streams et les empreintes de hachage pour faciliter l'analyse de malware et la chasse aux menaces.
dotnetfile est une bibliothèque d'analyse de l'en-tête Common Language Runtime (CLR) pour les fichiers Windows .NET, écrite en Python. L'en-tête CLR est présent dans chaque assembly .NET Windows à côté de l'en-tête Portable Executable (PE). Il stocke une multitude d'informations de métadonnées pour la partie managée du fichier.
dotnetfile est en quelque sorte l'équivalent de pefile mais pour les échantillons .NET.
La bibliothèque fournit une API facile à utiliser, mais tente également d'apporter de nouvelles méthodes pour améliorer la détection de fichiers. Cela inclut le hash MemberRef (expérimental) ainsi qu'une version originale et une version modifiée du hash TypeRef.
L'objectif de ce projet est de donner aux analystes de malwares et aux chasseurs de menaces un outil pour extraire facilement des informations de l'en-tête CLR. Vous n'avez pas besoin d'être un expert de l'en-tête CLR ni de vous perdre dans sa spécification pour utiliser cette bibliothèque. En utilisant l'API, vous apprendrez également comment l'en-tête est structuré et, espérons-le, vous comprendrez mieux ce type de fichier en général.
dotnetfile nécessite Python >= 3.7.
Vous pouvez facilement installer dotnetfile avec pip :
pip install dotnetfile
Pour installer dotnetfile en tant que module, veuillez utiliser le fichier setup.py fourni. Cela peut être fait avec l'aide de Python :
python3 setup.py install
Pour utiliser dotnetfile, il vous suffit d'importer le module et de créer une instance de la classe DotNetPE avec le chemin de l'assembly .NET comme paramètre. Un exemple minimal qui affiche le nombre de flux (streams) d'un assembly est présenté ci-dessous :
# Import class DotNetPE from module dotnetfile
from dotnetfile import DotNetPE
# Define the file path of your assembly
dotnet_file_path = '/Users/<username>/my_dotnet_assembly.exe'
# Create an instance of DotNetPE with the file path as a parameter
dotnet_file = DotNetPE(dotnet_file_path)
# Print out the number of streams of the assembly
print(f'Number of streams: {dotnet_file.get_number_of_streams()}')
Vous êtes invité à explorer les outils d'exemple : https://github.com/pan-unit42/dotnetfile/blob/main/tools/
Plus d'informations sur la façon d'utiliser cette bibliothèque sont disponibles dans les pages de documentation.
La documentation complète est disponible à l'adresse https://pan-unit42.github.io/dotnetfile/
Ce projet a débuté en 2016 avec le développement de la bibliothèque d'analyse pour un usage interne chez Palo Alto Networks. Il a été amélioré/étendu avec la bibliothèque d'interface et open-sourcé en 2022 par les personnes suivantes :
Ce projet est en cours de développement. Si vous rencontrez des problèmes ou avez des suggestions, veuillez les signaler sur la page GitHub du projet.
Un merci spécial à tous les contributeurs qui ont aidé à améliorer ce projet.
dotnetfile est fortement basé sur la .NET specification.