使用 GitHub 解码器脚本解码有效负载

Question

摘要： 我正在分析一个带有实时恶意软件（用于教育目的）的 pcap 文件，并使用 Wireshark - 我设法从 HTTP 流和一些可执行文件中提取了一些对象。

在我的分析过程中，我发现了一些暗示使用了 Fiestka 漏洞利用工具包的实例。

在 Google 上大量搜索后，我发现了一个 GitHub 代表：https://github.com/0x3a/tools/blob/master/fiesta-payload-decrypter.py

我想达到什么目的？

I am trying to run the python fiesta-payload-decrypter.py against the malicious executable (extracted from the pcap).

到目前为止我做了什么？

I've copied the code onto a plain text and saved it as malwaredecoder.py. - This script is saved in the same Folder (/Download/Investigation/) as the malware.exe that I want to run it against.

What's the Problem?

Traceback (most recent call last):
      File "malwaredecoder.py", line 51, in <module>
        sys.exit(DecryptFiestaPyload(sys.argv[1], sys.argv[2]))
      File "malwaredecoder.py", line 27, in DecryptFiestaPyload
        fdata = open(inputfile, "rb").read()
    IOError: [Errno 2] No such file or directory: '-'

我是运行 Kali Linux 中的这个 python 脚本，如有任何帮助，我们将不胜感激。谢谢。

Answer 1

脚本需要两个参数...你要传递什么？

看起来它希望 args 是文件，它看到 -，（破折号）作为输入文件。

https://github.com/0x3a/tools/blob/master/fiesta-payload-decrypter.py#L44 这里看起来第一个参数是输入文件，第二个是输出文件。

像这样运行试试看：

python malewaredecoder.py /Download/Investigation/fileImInvestigating.pcap /Download/Investigation/out.pcap

综上所述，祝你好运，该脚本看起来很旧，最后一次修改是在 2015 年。

使用 GitHub 解码器脚本解码有效负载

Decoding a Payload using GitHub Decoder Script

python

error-handling

decoder

malware-detection

kali-linux