cyberchef_banner_1500

CyberChef — это самопровозглашённый «швейцарский армейский нож» для киберзадач, созданный GCHQ. Это фантастический инструмент для преобразования, извлечения и обработки данных прямо в вашем веб-браузере.

Все заслуги за создание инструмента принадлежат @GCHQ. См.: https://gchq.github.io/CyberChef/

Общие советы

Скачайте CyberChef и запускайте его полностью на стороне клиента. Ему не нужно подключение к интернету, за исключением некоторых операций. Так все ваши данные будут в безопасности.
Не пытайтесь втиснуть CyberChef в то, на что он не рассчитан. Он умеет многое, но это не полноценный язык программирования!

Полезные регулярные выражения

Владение регулярными выражениями — ключ к максимально эффективной обработке данных в CyberChef (да и в любой DFIR-работе). Ниже приведены некоторые регулярные выражения, к которым я постоянно возвращаюсь.

Извлечение закодированных данных

Извлечение Base64: [a-zA-Z0-9+/=]{30,}
- Здесь «30» — произвольное число, которое можно подстроить под конкретный скрипт.
Извлечение шестнадцатеричных данных: [a-fA-F0-9]{10,}
- Это значение также можно изменить на {32} (MD5), {40} (SHA1), {64}, SHA256 для извлечения различных хэшей
Извлечение символьных кодов: [\d]{2,3}(,|’)
- В этом примере извлекаются символьные коды в формате ('30, 40, 50, 60')

Опережающие и ретроспективные проверки (Lookaheads & Lookbehinds)

Положительный Lookbehind: (?<=foo)(.*)
- Извлекает всё после 'foo', не включая 'foo'
Положительный Lookahead: ^.*(?=bar)
- Извлекает всё перед 'bar', не включая 'bar'
Комбинация Lookahead/Lookbehind: (?<=')(.*?)(?=')
- Извлекает всё между ' и '

Работа с API и CyberChef

CyberChef предоставляет операцию HTTP Request (см. Рецепт 22), которая позволяет выполнять HTTP-запросы к внешним ресурсам. Из-за политики Same Origin Policy (SOP) или отсутствия настройки Cross-Origin Resource Sharing многие из них не работают. SOP — это мера безопасности в современных браузерах, которая не позволяет читать межсайтовые ответы от серверов, не разрешающих это явно через CORS. Ознакомьтесь с докладом @GlassSec о CyberChef — там есть советы по запуску Chrome без web-security, чтобы разрешить HTTP-запросы к иначе ограниченным API (например, Virus Total)