cyberchef_banner_1500

CyberChef, GCHQ द्वारा बनाया गया स्व-घोषित 'साइबर स्विस-आर्मी चाकू' है। यह आपके वेब-ब्राउज़र में डेटा ट्रांसफ़ॉर्मेशन, निष्कर्षण और हेरफेर के लिए एक शानदार उपकरण है।

इस उपकरण को बनाने का पूरा श्रेय @GCHQ को जाता है। देखें: https://gchq.github.io/CyberChef/

सामान्य सुझाव

CyberChef को डाउनलोड करें और इसे पूरी तरह से क्लाइंट-साइड चलाएँ। कुछ ऑपरेशनों को छोड़कर इसे इंटरनेट कनेक्शन की आवश्यकता नहीं होती। इस तरह आपका सारा डेटा सुरक्षित रहता है।
CyberChef को ऐसे काम में जबरन न ढालें जो वह नहीं कर सकता। यह बहुत कुछ कर सकता है, लेकिन यह पूर्ण रूप से विकसित प्रोग्रामिंग भाषा नहीं है!

उपयोगी रेगुलर एक्सप्रेशन

डेटा मैनिपुलेशन में CyberChef (या किसी भी DFIR कार्य) का अधिकतम लाभ उठाने के लिए रेगुलर एक्सप्रेशन में महारत हासिल करना महत्वपूर्ण है। नीचे कुछ regex दिए गए हैं जिनका मैं बार-बार उपयोग करता हूँ।

एन्कोडेड डेटा निकालना

Base64 निकालें: [a-zA-Z0-9+/=]{30,}
- यहाँ '30' एक मनमाना नंबर है जिसे स्क्रिप्ट के अनुसार समायोजित किया जा सकता है।
हेक्साडेसिमल निकालें: [a-fA-F0-9]{10,}
- इसे {32} (MD5), {40} (SHA1), {64}, SHA256 जैसे विभिन्न हैश निकालने के लिए भी समायोजित किया जा सकता है
कैरेक्टर कोड निकालें: [\d]{2,3}(,|’)
- इस उदाहरण में यह ('30, 40, 50, 60') प्रारूप में कैरेक्टर कोड निकालेगा

लुकहेड्स और लुकबिहाइंड्स

पॉज़िटिव लुकबिहाइंड: (?<=foo)(.*)
- 'foo' के बाद सब कुछ निकालें बिना 'foo' को शामिल किए
पॉज़िटिव लुकहेड: ^.*(?=bar)
- 'bar' से पहले सब कुछ निकालें बिना 'bar' को शामिल किए
लुकहेड/बिहाइंड कॉम्बो: (?<=')(.*?)(?=')
- ' और ' के बीच सब कुछ निकालें

APIs और CyberChef के साथ काम करना

CyberChef एक HTTP Request ऑपरेशन प्रदान करता है (रेसिपी 22 देखें) जो बाहरी संसाधनों के लिए HTTP अनुरोधों की अनुमति देता है। समान मूल नीति (Same Origin Policy - SOP) या क्रॉस-ओरिजिन रिसोर्स शेयरिंग कॉन्फ़िगरेशन की कमी के कारण कई काम नहीं करते। SOP आधुनिक ब्राउज़रों में एक सुरक्षा उपाय है जो आपको उन सर्वरों से क्रॉस-साइट प्रतिक्रियाएँ पढ़ने से रोकता है जो इसे CORS के माध्यम से स्पष्ट रूप से अनुमति नहीं देते हैं। @GlassSec का CyberChef पर टॉक देखें, जिसमें वेब-सुरक्षा के बिना Chrome शुरू करने के सुझाव शामिल हैं ताकि अन्यथा प्रतिबंधित APIs (जैसे Virus Total) के लिए HTTP अनुरोध सक्षम किए जा सकें।