FileInsight-plugins：McAfee FileInsight 十六进制编辑器的解码工具箱，用于恶意软件分析

FileInsight-plugins 是 McAfee FileInsight 十六进制编辑器的一个大型插件集。 它增加了许多功能，例如解密、解压缩、搜索异或文本字符串、使用 YARA 规则扫描、代码模拟、反汇编等等！ 它对于恶意软件分析中的各种解码任务非常有用（例如，从恶意文档文件中提取恶意软件可执行文件和诱饵文档）。

寻找 FileInsight 安装程序的用户可访问： https://downloadcenter.trellix.com/products/mcafee-avert/fileinsight.msi

• 截图
• 演示介绍
• 使用案例
• 如何安装
• 如何使用
• 如何更新
• 自定义
• 插件列表（153 个插件）

截图

"AES 解密" 插件对话框

"YARA 扫描" 插件扫描结果

"解析文件结构" 插件解析的 ELF 可执行文件数据结构

"模拟代码" 插件模拟的 ARM64 Linux shellcode 模拟跟踪

"反汇编" 插件反汇编的 x86 Linux shellcode 输出

"位图视图" 插件可视化的 Windows 可执行文件位图表示

"字节直方图" 插件显示的 Excel 文件字节直方图

"熵图" 插件显示的 Windows 可执行文件熵图

演示介绍

Black Hat USA 2021 Arsenal

• Black Hat USA 网站摘要
• 幻灯片
• 演示视频

CODE BLUE 2019 Bluebox

• CODE BLUE 网站摘要
• 幻灯片（英文）
• 幻灯片（日文）

使用案例

• 使用案例 1：Excel 文件中嵌入的可执行文件
• 使用案例 2：RTF 文件中嵌入的可执行文件
• 使用案例 3：混淆的 PHP webshell
• 使用案例 4：YARA 规则测试
• 使用案例 5：代码模拟

如何安装

请执行以下命令。将安装 FileInsight-plugins 的最新发布版本及其先决条件，包括 FileInsight 和 Python 3.12.x（x64）。

powershell -exec bypass -command "IEX((New-Object Net.WebClient).DownloadString('https://raw.githubusercontent.com/nmantani/FileInsight-plugins/master/install.ps1'))"

如果您使用代理服务器（例如，IP 地址：10.0.0.1，端口：8080），请执行以下命令。

curl -x http://10.0.0.1:8080 -Lo install.ps1 https://raw.githubusercontent.com/nmantani/FileInsight-plugins/master/install.ps1
powershell -exec bypass .\install.ps1

有少数 Python 模块需要手动安装。请遵循插件显示的安装说明。

如何使用

请点击 "Plugins" 选项卡中的 "Operations"，然后选择一个插件。

您也可以通过右键菜单使用插件。

某些插件在使用时会显示一个额外的设置对话框。

如何更新

如果您想将 FileInsight-plugins 更新到最新的发布版本， 请点击插件菜单中的 "Check for update"。如果有新版本， 将执行安装 PowerShell 脚本（https://raw.githubusercontent.com/nmantani/FileInsight-plugins/master/install.ps1）。 现有文件将被覆盖。

您也可以通过以下命令进行更新（"Check for update" 会执行此命令）。

powershell -exec bypass -command "& ([scriptblock]::Create((New-Object Net.WebClient).DownloadString('https://raw.githubusercontent.com/nmantani/FileInsight-plugins/master/install.ps1'))) -update"

如果您使用代理服务器（例如，IP 地址：10.0.0.1，端口：8080），请执行以下命令。

curl -x http://10.0.0.1:8080 -Lo install.ps1 https://raw.githubusercontent.com/nmantani/FileInsight-plugins/master/install.ps1
powershell -exec bypass .\install.ps1 -update

如果您想将 FileInsight-plugins 更新到最新的快照版本， 请添加 "-snapshot" 选项。

powershell -exec bypass -command "& ([scriptblock]::Create((New-Object Net.WebClient).DownloadString('https://raw.githubusercontent.com/nmantani/FileInsight-plugins/master/install.ps1'))) -update -snapshot"

自定义

对于 "Send to (CLI)" 插件和 "Send to (GUI)" 插件，您可以用自己喜欢的程序打开文件。 请点击插件菜单中的 "Customize menu"。

"plugins\Operations\Misc\send_to_cli.json"（用于 "Send to (CLI)" 插件）或 "plugins\Operations\Misc\send_to.json"（用于 "Send to (GUI)" 插件）将用您的默认文本编辑器打开。 请编辑并保存。

您的自定义设置将反映在菜单项中。

插件列表（155 个插件）

基本操作

• 复制到新文件
  将选定区域（如果未选择则为整个文件）复制到一个新文件
• 切换文件标签
  通过列表框切换文件标签
• 书签
  使用指定的注释和颜色为选定区域添加书签
• 将二进制数据剪切到剪贴板
  将选定区域的二进制数据作为十六进制编码文本剪切到剪贴板
• 将二进制数据复制到剪贴板
  将选定区域的二进制数据作为十六进制编码文本复制到剪贴板
• 从剪贴板粘贴二进制数据
  从剪贴板粘贴二进制数据（从十六进制编码文本转换而来）
• 删除之前
  删除当前光标位置之前的所有区域
• 删除之后
  删除当前光标位置之后的所有区域
• 填充
  使用指定的十六进制模式填充选定区域
• 取反
  对选定区域的位进行取反
• 反转顺序
  反转选定区域的顺序
• 更改字节序
  更改选定区域的字节序
• 交换半字节
  交换选定区域中每对半字节
• 交换两个字节
  交换选定区域中每对字节
• 转换为大写
  将选定区域的文本转换为大写
• 转换为小写
  将选定区域的文本转换为小写
• 交换大小写
  交换选定区域的大小写

压缩操作

压缩

• aPLib
  使用 aPLib 压缩库压缩选定区域
• Brotli
  使用 Brotli 算法压缩选定区域
• Bzip2
  使用 bzip2 算法压缩选定区域
• Gzip
  以 gzip 格式压缩选定区域
• LZ4
  使用 LZ4 算法压缩选定区域
• LZF
  使用 LZF 算法压缩选定区域
• LZFSE
  使用 LZFSE 算法压缩选定区域
• lzip
  以 lzip 格式压缩选定区域
• LZJB
  使用 LZJB 算法压缩选定区域
• LZMA
  使用 LZMA 算法压缩选定区域
• LZNT1
  使用 LZNT1 算法压缩选定区域
• LZO
  使用 LZO 算法压缩选定区域
• LZRW1/KH
  使用 LZRW1/KH 算法压缩选定区域
• PPMd
  使用 PPMd 算法压缩选定区域
• QuickLZ
  使用 QuickLZ 压缩库压缩选定区域
• Raw deflate
  使用不含头和校验和的 Deflate 算法压缩选定区域（相当于 PHP 语言中的 gzdeflate()）
• Snappy
  使用 Snappy 压缩库压缩选定区域
• XZ
  以 XZ 格式压缩选定区域
• zlib (deflate)
  使用 zlib（Deflate 算法）压缩选定区域
• Zstandard
  使用 Zstandard 算法压缩选定区域

解压缩

• aPLib
  使用 aPLib 压缩库解压缩选定区域
• Brotli
  使用 Brotli 算法解压缩选定区域
• Bzip2
  使用 bzip2 算法解压缩选定区域
• Gzip
  解压缩选定的 gzip 压缩区域
• LZ4
  使用 LZ4 算法解压缩选定区域
• LZF
  使用 LZF 算法解压缩选定区域
• LZFSE
  使用 LZFSE 算法解压缩选定区域
• lzip
  解压缩选定的 lzip 压缩区域
• LZJB
  使用 LZJB 算法解压缩选定区域
• LZMA
  使用 LZMA 算法解压缩选定区域
• LZNT1
  使用 LZNT1 算法解压缩选定区域
• LZO
  使用 LZO 算法解压缩选定区域
• LZRW1/KH
  使用 LZRW1/KH 算法解压缩选定区域
• PPMd
  使用 PPMd 算法解压缩选定区域
• QuickLZ
  使用 QuickLZ 压缩库解压缩选定区域
• Raw inflate
  解压缩不含头和校验和的 Deflate 压缩区域（相当于 PHP 语言中的 gzinflate()）
• Snappy
  使用 Snappy 压缩库解压缩选定区域
• XZ
  解压缩选定的 XZ 压缩区域
• zlib (inflate)
  使用 zlib（Deflate 算法）解压缩选定区域
• Zstandard
  使用 Zstandard 算法解压缩选定区域

加密操作

解密

• AES
  使用 AES 解密选定区域
• Blowfish
  使用 Blowfish 解密选定区域
• CAST-128
  使用 CAST-128 解密选定区域
• Camellia
  使用 Camellia 解密选定区域
• ChaCha20
  使用 ChaCha20 解密选定区域
• DES
  使用 DES 解密选定区域
• RC2
  使用 RC2 解密选定区域
• RC4
  使用 RC4 解密选定区域
• RC5
  使用 RC5 解密选定区域
• RC6
  使用 RC6 解密选定区域
• Salsa20
  使用 Salsa20 解密选定区域
• TEA
  使用 TEA（微型加密算法）解密选定区域
• Triple DES
  使用 Triple DES 解密选定区域
• XTEA
  使用 XTEA（扩展微型加密算法）解密选定区域
• XXTEA
  使用 XXTEA（修正块微型加密算法）解密选定区域

加密

• AES
  使用 AES 加密选定区域
• Blowfish
  使用 Blowfish 加密选定区域
• CAST-128
  使用 CAST-128 加密选定区域
• Camellia
  使用 Camellia 加密选定区域
• ChaCha20
  使用 ChaCha20 加密选定区域
• DES
  使用 DES 加密选定区域
• RC2
  使用 RC2 加密选定区域
• RC4
  使用 RC4 加密选定区域
• RC5
  使用 RC5 加密选定区域
• RC6
  使用 RC6 加密选定区域
• Salsa20
  使用 Salsa20 加密选定区域
• TEA
  使用 TEA（微型加密算法）加密选定区域
• Triple DES
  使用 Triple DES 加密选定区域
• XTEA
  使用 XTEA（扩展微型加密算法）加密选定区域
• XXTEA
  使用 XXTEA（修正块微型加密算法）加密选定区域

编码操作

解码

• 十六进制文本转二进制数据
  将选定区域的十六进制文本转换为二进制
• 十进制文本转二进制数据
  将选定区域的十进制文本转换为二进制数据
• 八进制文本转二进制数据
  将选定区域的八进制文本转换为二进制数据
• 二进制文本转二进制数据
  将选定区域的二进制文本转换为二进制数据
• 自定义 base16 解码
  使用自定义 base16 表解码选定区域
• 自定义 base32 解码
  使用自定义 base32 表解码选定区域
• 自定义 base58 解码
  使用自定义 base58 表解码选定区域
• 自定义 base62 解码
  使用自定义 base62 表解码选定区域
• 自定义 base64 解码
  使用自定义 base64 表解码选定区域
• 自定义 base85 解码
  使用自定义 base85 表解码选定区域
• 自定义 base91 解码
  使用自定义 base91 表解码选定区域
• 自定义 base92 解码
  使用自定义 base92 表解码选定区域
• gob 解码
  将选定区域作为 gob（Go 语言的序列化格式）序列化数据解码为 Python 表示法
• MessagePack 解码
  将选定区域作为 MessagePack 序列化数据解码为 JSON
• Protobuf 解码
  将选定区域作为 Protocol Buffers 序列化数据解码为 JSON（无需 .proto 文件）
• 从 quoted printable 解码
  将选定区域作为 quoted printable 文本解码
• Unicode 转义解码
  解义选定区域中的 Unicode 转义序列
• URL 解码
  将选定区域作为 URL 中使用的百分比编码文本解码

编码

• 二进制数据转十六进制文本
  将选定区域的二进制转换为十六进制文本
• 二进制数据转十进制文本
  将选定区域的二进制转换为十进制文本
• 二进制数据转八进制文本
  将选定区域的二进制转换为八进制文本
• 二进制数据转二进制文本
  将选定区域的二进制转换为二进制文本
• 自定义 base16 编码
  使用自定义 base16 表编码选定区域
• 自定义 base32 编码
  使用自定义 base32 表编码选定区域
• 自定义 base58 编码
  使用自定义 base58 表编码选定区域
• 自定义 base62 编码
  使用自定义 base62 表编码选定区域
• 自定义 base64 编码
  使用自定义 base64 表编码选定区域
• 自定义 base85 编码
  使用自定义 base85 表编码选定区域
• 自定义 base91 编码
  使用自定义 base91 表编码选定区域
• 自定义 base92 编码
  使用自定义 base92 表编码选定区域
• MessagePack 编码
  将选定区域的 JSON 编码为 MessagePack 序列化数据
• ROT13
  将选定区域中的字母字符按指定数量（默认 13）旋转
• 转换为 quoted printable
  将选定区域编码为 quoted printable 文本
• Unicode 转义
  转义选定区域中的 Unicode 字符
• URL 编码
  将选定区域编码为 URL 中使用的百分比编码文本

杂项操作

• 代码模拟
  将选定区域作为可执行文件或 shellcode 进行模拟（如果未选择则为整个文件）
• 文件比较
  比较两个文件的内容
• 哈希值
  计算选定区域（如果未选择则为整个文件）的 CRC32、MD5、SHA1、SHA256、ssdeep、TLSH、imphash、impfuzzy、exphash、Rich PE 头哈希、authentihash、图标 MD5、图标 dhash、gimphash 和 telfhash 值
• 发送到 (CLI)
  将选定区域（如果未选择则为整个文件）发送到其他 CLI 程序并获取输出
• 发送到 (GUI)
  将选定区域（如果未选择则为整个文件）发送到其他 GUI 程序

解析操作

• Binwalk 扫描
  扫描选定区域（如果未选择则为整个文件）以查找嵌入的文件
• 反汇编
  反汇编选定区域（如果未选择则为整个文件）
• 提取 VBA 宏
  从选定区域（如果未选择则为整个文件）提取 Microsoft Office VBA 宏
• 文件类型
  识别选定区域（如果未选择则为整个文件）的文件类型
• 查找 PE 文件
  基于 PE 头信息从选定区域（如果未选择则为整个文件）查找 PE 文件
• 解析文件结构
  使用 Kaitai Struct 解析选定区域（如果未选择则为整个文件）的文件结构
  支持的文件格式：Gzip、RAR、ZIP、ELF、Mach-O、PE、MBR 分区表、BMP、GIF、JPEG、PNG、Windows 快捷方式
• 显示元数据
  使用 ExifTool 显示选定区域（如果未选择则为整个文件）的元数据
• 字符串
  从选定区域（如果未选择则为整个文件）提取文本字符串
• 字符串类型
  使用 lemmeknow 识别选定区域（如果未选择则为整个文件）中字符串的类型，例如 API 密钥和加密货币钱包地址

搜索操作

• 正则表达式提取
  在选定区域（如果未选择则为整个文件）中使用正则表达式搜索，并将匹配的区域提取为单个连接的区域
• 正则表达式搜索
  在选定区域（如果未选择则为整个文件）中使用正则表达式搜索，并为匹配的区域添加书签
• 替换
  在选定区域（如果未选择则为整个文件）中使用正则表达式搜索，并用指定数据替换匹配的区域
• XOR 十六进制搜索
  在选定区域（如果未选择则为整个文件）中搜索异或 / 位旋转的数据
• XOR 文本搜索
  在选定区域（如果未选择则为整个文件）中搜索异或 / 位旋转的字符串
• YARA 扫描
  使用 YARA 扫描选定区域（如果未选择则为整个文件）。

可视化操作

• 位图视图
  将整个文件可视化为位图表示
• 字节直方图
  显示选定区域（如果未选择则为整个文件）的字节直方图
• 熵图
  显示选定区域（如果未选择则为整个文件）的熵图

XOR 操作

• 简单 XOR
  使用指定的 XOR 密钥对选定区域进行异或
• 递减 XOR
  对选定区域进行异或，同时递减 XOR 密钥
• 递增 XOR
  对选定区域进行异或，同时递增 XOR 密钥
• 保留空字节 XOR
  对选定区域进行异或，同时跳过空字节和 XOR 密钥本身
• 使用另一个文件进行 XOR
  使用另一个文件的内容作为 XOR 密钥对选定区域进行异或
• 使用下一个字节进行 XOR
  对选定区域进行异或，同时使用下一个字节作为 XOR 密钥
• 使用下一个字节进行 XOR（逆操作）
  "使用下一个字节进行 XOR" 插件的逆操作
• 猜测多字节 XOR 密钥
  基于与 0x00 异或后揭示的密钥，从选定区域（如果未选择则为整个文件）猜测多字节 XOR 密钥
• 视觉加密
  使用 Zeus 木马使用的视觉加密算法对选定区域进行编码
• 视觉解密
  使用 Zeus 木马使用的视觉解密算法对选定区域进行解码

作者

Nobutaka Mantani（X：@nmantani）

许可证

BSD 2-Clause 许可证（http://opensource.org/licenses/bsd-license.php）