EtherBlob Explorer

Cerca ed estrai file blob sulla rete Ethereum tramite l'API di Etherscan.io.

Introduzione

EtherBlob Explorer è uno strumento pensato per ricercatori, analisti, giocatori di CTF o chiunque sia abbastanza curioso da voler cercare diversi tipi di file o qualsiasi dato significativo fornito dall'uomo sulla Rete Blockchain di Ethereum. Cerca su un intervallo fornito dall'utente di ID di blocco o timestamp UNIX su una qualsiasi delle 5 reti disponibili: MainNet, Görli, Kovan, Rinkeby e Ropsten.

Per un caso reale puoi leggere questo esperimento del 2017. L'immutabilità della blockchain può davvero essere un'arma a doppio taglio.

Installazione

Esegui il seguente comando:

$ pip install git+https://github.com/litneet64/etherblob-explorer.git

Ora è pronto per essere usato dalla tua CLI, qui sotto trovi alcuni esempi di uso comune!

Caratteristiche

Reti

Cerca su una qualsiasi delle cinque reti Ethereum:

• MainNet
• Görli
• Kovan
• Rinkeby
• Ropsten

Luoghi di ricerca

Questo strumento può cercare nei seguenti luoghi, separatamente o combinandone qualsiasi nella stessa esecuzione:

• Dati di input delle transazioni: cerca all'interno dei dati di input delle transazioni (posizione predefinita).
• Dati di input del blocco: cerca all'interno dei dati di input del blocco.
• Archiviazione del contratto: cerca all'interno dell'array di archiviazione di un contratto nelle prime N posizioni da 32 byte, trattando il tutto come una grande stringa di dati.
• Indirizzi 'to': cerca aggiungendo gli indirizzi 'to' come possibile input [*] (controllando prima le intestazioni dei file e ricontrollando quando tutti i dati sono raccolti usando binwalk).

[*] Memorizzare dati su indirizzi 'to' è possibile sulla rete Ethereum poiché non c'è verifica se si invia a un indirizzo che non ha chiavi di account associate. Ciò significa che puoi effettuare transazioni verso indirizzi arbitrari per creare un payload su diverse transazioni da 20 byte (è molto raro ma lo sono anche alcune sfide CTF).

Metodi di ricerca ed estrazione

Tutti questi metodi possono essere usati separatamente o in qualsiasi combinazione:

• File incorporati: cerca file incorporati nei dati usando binwalk.
• Intestazioni di file / Magic Bytes: cerca usando intestazioni + magic bytes tramite l'utilità Linux file (metodo predefinito).
• Dump di stringhe ASCII: cerca stringhe ASCII nei dati.
• Ricerca basata sull'entropia: usa l'entropia di Shannon come strumento di misura per cercare testo in linguaggio naturale (es. UTF-8 Unicode), file crittografati/compressi o qualsiasi cosa l'utente ritenga valida con limiti di entropia forniti dall'utente.

IMPORTANTE: L'ordine mostrato qui viene utilizzato sotto il cofano per scartare le ricerche con altri metodi (ad es. se un file viene trovato tramite file incorporati, allora non tenterà di cercare usando intestazioni di file, dump di stringhe ASCII né entropia) poiché non è probabile trovare qualcosa di significativo se i metodi precedenti hanno già avuto successo.

Varie

• Accetta timestamp UNIX (invece di ID di blocco) che vengono risolti negli ID di blocco più vicini impegnati a quei tempi.
• Salva tutti i dati delle transazioni visitate in un file per una revisione successiva.
• Memorizza i log visualizzati nella CLI in un file per l'analisi successiva dei file estratti.
• Ignora i formati di file forniti dall'utente (senza distinzione tra maiuscole e minuscole) per l'estrazione e accetta sottostringhe del formato di file completo per il blacklisting.
• Stampa metriche di progresso generali (es. quanti blocchi/transazioni sono stati analizzati, quanti blocchi rimangono) ogni minuto e visualizza anche alcune metriche interessanti alla fine dell'esecuzione corrente.
• Altre funzionalità utili si trovano nel manuale (-h)!

Utilizzo

Casi d'uso comuni

• Ricerca standard (cerca all'interno delle transazioni tramite intestazioni di file) su MainNet con chiave API nella posizione predefinita (.api-key) e tra questi due ID di blocco (inclusi):

$ etherblob 4081599 4081600

• Ricerca più "approfondita" (cerca file incorporati + metodo di ricerca regolare) sulla rete goerli con chiave all'interno di un file arbitrario:

$ etherblob -K api.key 3134050 3145570 -M -H --network goerli

• Cerca contemporaneamente su intestazioni di blocco e transazioni e salva i file estratti in 'extracted':

$ etherblob 4081599 4081600 --blocks --transactions -D extracted/

• Cerca solo all'interno degli indirizzi 'to' nell'intervallo di blocchi impegnati tra Jan 25 2021 19:00:00 e Jan 26 2021 19:00:00:

$ etherblob -t 1611601200 1611687600 --addresses

• Cerca solo stringhe nell'archiviazione dei contratti e per le prime 4 posizioni dell'array di archiviazione (128 byte di dati):

$ etherblob 3911697 3912697 -S --contracts -C 4

• Cerca solo all'interno delle transazioni dati crittografati/compressi (ignorando qualsiasi altro formato di file):

$ etherblob 4081599 4081600 --encrypted

• Cerca all'interno delle transazioni file con entropia personalizzata salvando le transazioni in un file:

$ etherblob  3911697 3912697 -E 4.0 5.0 -s

• Solo dump di stringhe ASCII su blocchi e transazioni effettuate la vigilia di Natale (tra il 24 e il 25):

$ etherblob -t 1608836400 1608922800 --blocks --transactions --strings

• Ricerca completa (lenta, aspettati molti falsi positivi):

$ etherblob 4081599 4081600 -U -S -M -H --blocks --transactions --addresses --contracts

Casi d'uso avanzati

Ci sono ulteriori spiegazioni per casi d'uso avanzati e le cose trovate con essi nel wiki!

Manuale

usage: etherblob [-h] [--transactions] [--blocks] [--addresses] [--contracts]
                 [--network {main,goerli,kovan,rinkeby,ropsten}] [-H] [-M] [-U] [-E CUSTOM_ENTROPY CUSTOM_ENTROPY]
                 [--encrypted] [-S] [-C CONTRACT_POSITION] [-t] [-K API_KEY_PATH] [-k API_KEY] [-D OUTPUT_DIR]
                 [-o OUT_LOG] [-s] [-i [IGNORED_FMT [IGNORED_FMT ...]]] [--version]
                 start_block end_block

Tool to search and extract blob files on the Ethereum Network.

positional arguments:
  start_block           Start of block id range.
  end_block             End of block id range.