Analisador de Arquivo de Saída do Snaffler

Especialmente em ambientes grandes, a saída do Snaffler fica muito grande e demorada para analisar.

Este script analisa o arquivo de saída do Snaffler (formato TSV necessário) e:

• Embeleza os resultados em tabelas legíveis e exporta para TXT, CSV, HTML, JSON ou PS Gridview.
• Gera um relatório HTML interativo com:
  • Filtragem (severidade, extensão, ano de modificação) e pesquisa em texto completo
  • Ordenação dinâmica
  • Realce de palavras-chave no texto de pré-visualização
  • Ações diretas (abrir pasta pai, baixar arquivo, copiar UNC, copiar UNC pai)
  • Fluxo de revisão com estado persistido:
    • ★ sinalizado (interessante)
    • ✓ concluído (revisado)
  • Modo unescape opcional para melhorar a legibilidade da pré-visualização (experimental)
  • Paginação para conjuntos de dados muito grandes
  • Seletor de colunas (persistido por relatório)
  • Exportação da visualização filtrada atual para CSV
  • Metadados do Job do Snaffler (início/fim/host/usuário/timestamps...)
• Ordena a saída por severidade (Preto/Vermelho/Amarelo/Verde) e depois pela data de modificação (padrão) ou outro campo
• Exporta todos os compartilhamentos descobertos para um arquivo de texto
• Pode exportar compartilhamentos acessíveis como favoritos do Explorer++

Demonstração

Analisando arquivo de saída:

Saída HTML:

Saída TXT:

Pré-condições e Uso

O Snaffler deve ser executado com o parâmetro -y para criar um arquivo de saída no formato TSV.

Exemplo: .\Snaffler.exe -o snafflerout.txt -s -y

Análise Simples

Analise simplesmente o arquivo my_snaffler_output.txt e escreva a saída com a ordenação padrão (severidade, data de modificação) e arquivos de saída padrão (TXT, CSV, HTML). .\snafflerparser.ps1 -in my_snaffler_output.txt

Opções de Saída

As diferentes opções de arquivo de saída são:

• -outformat all Escreve txt, csv, html e json (padrão)
• -outformat txt Escreve txt
• -outformat csv Escreve csv
• -outformat html Escreve html
• -outformat json Escreve json

Esses arquivos podem ser divididos por severidade (preto, vermelho, amarelo, verde) usando o parâmetro -split.

Além disso, uma saída PS gridview pode ser exibida usando -gridview.

Relatório HTML

Funcionalidades

• Paginação para relatórios grandes
• Pesquisa em texto completo (UNC / regra / palavra-chave / conteúdo) com realce
• Filtros:
  • Severidade (Preto / Vermelho / Amarelo / Verde)
  • Ano de modificação
  • Extensão de arquivo (com pesquisa de extensão)
  • Filtros de estado: apenas ★ sinalizado / ocultar ✓ concluído
• Ordenação clicando nos cabeçalhos da tabela (agrupamento por severidade é preservado a menos que você altere para ordenação global)
• Realce de palavras-chave no conteúdo da pré-visualização
• Ações por linha:
  • Copiar caminho UNC completo
  • Copiar caminho UNC pai
  • Abrir pasta pai (file://)
  • Baixar arquivo (file://)
• Seletor de colunas (persistido por relatório)
• Exportar a visualização filtrada atual para CSV
• Cabeçalho de metadados do relatório + modal “Informações do Job” (arquivo de entrada, host/usuário, hash, timestamps, durações)
• Alternância modo escuro / claro

Fluxo de revisão (★ / ✓)

Duas caixas de seleção suportam um processo de revisão rápido:

• ★ (sinalizado): marcar arquivos interessantes para revisitar
• ✓ (concluído): marcar arquivos revisados

Navegação por teclado:

• Use W/S ou ↑/↓ para mover para cima/baixo dentro da coluna de caixas de seleção
• Use A/D ou ←/→ para mover entre ★ e ✓
• Pressione Espaço para alternar a caixa de seleção focada
• Teclas de atalho:
  • 1 alterna ★
  • 2 alterna ✓

Auxiliares de filtragem:

• “Mostrar apenas ★” para focar nos itens sinalizados
• “Ocultar ✓ concluído” para remover itens revisados da visualização

Persistência: o estado das caixas de seleção é salvo no localStorage do seu navegador para este relatório.
Para armazenar permanentemente as marcações atuais, clique em Salvar HTML no relatório (baixa uma cópia com seu estado incorporado).

Desescapando texto de pré-visualização (experimental)

O Snaffler escapa quebras de linha e outros caracteres no conteúdo da pré-visualização para exibi-lo no terminal.
O relatório HTML inclui uma alternância Desescapar que converte sequências escapadas comuns (como \n, \r\n, \t) em formatação legível.

Exemplo:

Nota: Desescapar também pode alterar strings que não foram originalmente escapadas pelo Snaffler. Trate isso como um auxílio de legibilidade.

Ordenação

A saída é sempre agrupada por severidade (Preto → Vermelho → Amarelo → Verde). Dentro de cada grupo você pode ordenar por:

• -sort modified Data de modificação do arquivo (padrão)
• -sort keyword Palavra-chave do Snaffler
• -sort unc Caminho UNC do arquivo
• -sort rule Nome da regra do Snaffler

Integração com Explorer++

O Explorer++ é um explorador de arquivos alternativo leve para Windows que suporta execução em um contexto de usuário diferente, incluindo o parâmetro /netonly. Isso é especialmente útil durante avaliações onde a estação de trabalho ou VM não está associada ao domínio.

O que o SnafflerParser faz

Ao usar o parâmetro -pte, o SnafflerParser se integra diretamente com o Explorer++ gerenciando seu arquivo config.xml:

• Gera config.xml se não existir (modo portátil)
• Garante que a Barra de Favoritos esteja ativada
• Remove favoritos gerados anteriormente
• Cria uma pasta de favoritos por host
• Adiciona todos os compartilhamentos acessíveis como favoritos sob o host correspondente
• Permite navegação rápida para compartilhamentos sem solicitações repetidas de autenticação

Uso

1. Baixe o Explorer++ de
   https://github.com/derceg/explorerplusplus

2. Coloque Explorer++.exe no mesmo diretório que snafflerParser.ps1

3. Analise a saída do Snaffler e exporte os compartilhamentos para o Explorer++:

   root@kitploit:~

   .\snafflerParser.ps1 -in snafflerout.txt -pte
   

4. Inicie o Explorer++ em um contexto de usuário diferente:

   root@kitploit:~

   runas /user:DOMINIO\usuario /netonly Explorer++.exe
   

5. Use a Barra de Favoritos para navegar rapidamente pelos compartilhamentos descobertos.
   

Por que isso é útil:

• Não é necessário autenticar separadamente para cada compartilhamento
• Funciona bem a partir de sistemas não associados ao domínio

Registro de Alterações

2026-05-26

Corrigido

• A coluna de conteúdo não fica mais vazia ao analisar saída de versões mais recentes do Snaffler (>=1.0.244). O Snaffler mais recente adiciona um campo de nome de arquivo original antes da coluna de conteúdo (usado para arquivos de biblioteca de conteúdo do SCCM). O analisador agora lida com ambos os formatos, o antigo (13 colunas) e o novo (14 colunas), de forma transparente.
• Não trava mais ao analisar saída de um job do Snaffler interrompido (timestamp/duration final ausente).

2026-01-04

Melhorado

• Análise, processamento e geração de relatórios mais rápidos (aproximadamente 50% mais rápido no geral)
• Tamanho do relatório HTML reduzido (aproximadamente 60% menor)
• Integração com Explorer++: Config.xml será gerado se não existir. A barra de favoritos será ativada se estiver desativada.
• Reformulação do relatório HTML
  • Paginação para relatórios grandes (grande melhoria de desempenho para relatórios com >100k arquivos)
  • Filtros adicionais: Data de modificação (filtragem baseada em ano)
  • Filtragem de extensão de arquivo aprimorada
  • Alternância modo escuro/claro diretamente no relatório
  • Quebra de linha adequada para caminhos UNC longos
  • Exportar resultados filtrados para CSV
  • Estados sinalizado (★) e revisado (✓) persistidos usando armazenamento local
  • Colunas podem ser mostradas/ocultadas (configurações armazenadas por relatório)
  • Pesquisa em texto completo com realce de palavras-chave
  • Layout de filtro melhorado e mais compacto
  • Barra de ações com funções adicionais (copiar caminho UNC completo / copiar caminho da pasta pai)
  • Linha de cabeçalho com metadados do relatório e um modal de informações
  • Botão para desescapar conteúdo (experimental)

Corrigido

• Adicionadas verificações para caminhos UNC ilegais (corrige issue #5)
• A paginação deve corrigir a issue #4

Removido

• Removido o parâmetro -lightmode.
• Removido o parâmetro -unescape.

2025-01-25

Melhorado

• Desempenho ligeiramente melhorado
• Mensagens de status ajustadas

2025-01-21

Novo

• Caixas de seleção personalizadas para apoiar o processo de revisão (solicitação de recurso #3)
• Recurso experimental de desescape
• Modo escuro

Melhorado

• Melhorias gerais no relatório HTML

2025-01-17

Corrigido

• Issue #2: Corrigido: Espaços quebrando nos links de abrir ou baixar