CheckPlz

CheckPlz 是流行的 ThreatCheck 和 GoCheck 工具的 Rust 改编版，旨在利用 AMSI（反恶意软件扫描接口）和 Windows Defender 扫描文件以发现潜在威胁。通过精确隔离恶意内容并提供全面的分析，CheckPlz 提供了增强且高效的文件扫描体验。

主要特性

• AMSI 集成： 对缓冲区进行精确扫描以检测威胁。
• 二分查找威胁隔离： 精确定位导致检测的文件片段。
• 十六进制转储分析： 通过详细的十六进制和 ASCII 转储可视化恶意内容。
• 调试支持： 启用详细输出以获得更深入的信息。
• 可自定义输出： 选择原始输出或彩色、友好的终端输出。

工作原理

1. AMSI 扫描：

   • 初始化 AMSI 上下文。
   • 扫描文件内容和缓冲区以发现威胁。
   • 如果检测到威胁，则执行二分查找以隔离恶意片段。

2. Windows Defender 扫描：

   • 调用 MpCmdRun.exe 扫描文件。
   • 分析输出以检测威胁。
   • 如果发现威胁，则执行二分查找。

3. 二分查找：

   • 递归扫描文件的片段以定位恶意内容。
   • 生成详细的日志和结果。

安装

1. 克隆仓库：
   root@kitploit:~

   git clone https://github.com/your-username/CheckPlz.git
   cd CheckPlz
   

2. 编译项目：
   root@kitploit:~

   cargo build --release
   

3. 可执行文件位于 target/release/checkplz.exe。

使用说明

使用所需选项运行 CheckPlz：

用法：CheckPlz.exe [选项] --file <FILE>

选项：
  -f, --file <FILE>  要扫描的文件路径
  -d, --debug        启用调试模式
  -a, --amsi         使用 AMSI 扫描
  -m, --msdefender   使用 Windows Defender 扫描
  -r, --raw          原始输出，不含 ANSI 颜色
  -h, --help         打印帮助信息
  -V, --version      打印版本信息

示例命令

• 使用 AMSI 扫描文件：

  root@kitploit:~

  checkplz --file malicious.exe --amsi
  

• 使用 Windows Defender 扫描文件：

  root@kitploit:~

  checkplz --file suspicious.exe --msdefender
  

• 同时使用 AMSI 和 Windows Defender 进行扫描，并启用调试输出：

  root@kitploit:~

  checkplz --file unknown.exe --amsi --msdefender --debug
  

• 使用原始输出格式进行扫描：

  root@kitploit:~

  checkplz --file unknown.exe --amsi --raw
  

输出概述

• 扫描结果： 显示检测状态、潜在的恶意偏移量以及扫描所花费的时间。
• 十六进制转储分析： 可疑部分的详细视图，突出显示恶意字节。