CyberChefは、GCHQが作成した、自称「Cyber Swiss-Army Knife」です。Webブラウザ上でデータの変換、抽出、操作を行うための素晴らしいツールです。

このツールを制作した@GCHQに最大限の敬意を表します。参照: https://gchq.github.io/CyberChef/

一般的なヒント

• CyberChefをダウンロードして、完全にクライアントサイドで実行してください。特定の操作を除いてインターネット接続は必要ありません。そうすれば、すべてのデータは安全です。
• CyberChefを、できないことに無理やり当てはめようとしないでください。多くのことはできますが、完全なプログラミング言語ではありません。

便利な正規表現

正規表現をマスターすることは、CyberChef（またはあらゆるDFIR作業）でのデータ操作を最大限に活用するための鍵です。以下は、私が何度も使う正規表現です。

エンコードされたデータの抽出

• Base64の抽出: [a-zA-Z0-9+/=]{30,}

  • ここでの「30」は任意の数値で、スクリプトに応じて調整できます。
    

• 16進数の抽出: [a-fA-F0-9]{10,}

  • これは {32} (MD5)、{40} (SHA1)、{64}、SHA256 のように調整して、さまざまなハッシュを抽出することもできます。

• 文字コードの抽出: [\d]{2,3}(,|’)

  • この例では、('30, 40, 50, 60') のような形式の文字コードを抽出します。

先読みと後読み

• 肯定後読み: (?<=foo)(.*)
  • 'foo' を含めずに、'foo' 以降のすべてを抽出します。
• 肯定先読み: ^.*(?=bar)
  • 'bar' を含めずに、'bar' 以前のすべてを抽出します。
• 先読み/後読みの組み合わせ: (?<=')(.*?)(?=')
  • ' と ' の間のすべてを抽出します。

APIとCyberChefの連携

CyberChefには、外部リソースへのHTTPリクエストを可能にする「HTTP Request」操作があります（レシピ22参照）。しかし、同一オリジンポリシー（Same Origin Policy、SOP）またはクロスオリジンリソース共有（Cross-Origin Resource Sharing、CORS）の設定不足により、多くは機能しません。SOPは、CORSを介して明示的に許可していないサーバーからのクロスサイト応答を読み取ることを防ぐ、現代のブラウザにおけるセキュリティ対策です。@GlassSecのCyberChefに関する講演 をご覧ください。そこには、通常は制限されているAPI（Virus Totalなど）へのHTTPリクエストを有効にするために、web-securityなしでChromeを起動するヒントが含まれています。

CyberChefレシピ

CyberChefのレシピ例: