最近、アセンブリの勉強を少ししています。

手始めにこの記事を参考にアセンブリとバッファオーバーフローの勉強をしてみます。

MORE »

正規表現でマッチした文字列を再利用するには後方参照(Backreference)を利用します。

以下はsedを用いた例です。

echo 'abc12345' | sed -E 's/([a-z]{3})([0-9]{5})/\1FOO\2BAR/g'

英小文字3文字の末尾に"FOO"という文字列を付け足し、数字5文字の末尾に"BAR"という文字列を付け足します。

sed01.png

echo 'abc12345' | sed -E 's/([a-z]{3})([0-9]{5})/\1FOO\2BAR/g'

([a-z]{3}) : 1つ目のパターンマッチ。英小文字3文字にマッチする。
([0-9]{5}) : 2つ目のパターンマッチ。数字5文字にマッチする。
\1 : 1つ目のパターンにマッチした文字列を参照する。
\2 : 2つ目のパターンにマッチした文字列を参照する。

パターンマッチはカッコ()の中で定義します。

以上。
以下のような難読化されたPowerShellコマンドがあったとします。

("{1}{0}" -f 'AN','C') ([chAr]89+[chAr]79+[chAr]85) ('SZZ'.replace('Z', 'E')) ('T','H','I','S' -jOin '')([char]63)

PowerShellを立ち上げて、Write-Hostで上記をコンソール出力させると、手っ取り早く解読できます。

ps1.png


※もし解読しようとしているPowerShellコマンドに悪意のあるコードが含まれている場合、コードが実行されてしまう可能性があります。その場合は、必ずVMなどの安全な環境で検証してください。

以上。
仕事柄、HEXエンコードされたデータに、しょっちゅう遭遇するのですが、そのたびにPythonをインタラクティブ・モードで立ち上げて
1-28.png
とか
2-28.png

とか、していたのですよ。

ですが、最近になってxxdコマンドを使えばbashでも1行でHEXデコードできることに気が付きました。

3-28.png

4-28.png

xxdコマンドのrオプションとpオプションを組み合わせて使うと、ナマのHEXデータ(オフセット表示などを含まない)をデコードできます。
5-28.png

以上。
AppDataフォルダとはWindows上のアプリケーションに関係するデータや設定が格納されているフォルダです。
各ユーザごとに存在しており、デフォルトでは隠しフォルダになっています。

AppData配下にはRoamingLocalLocalLowの3種類のフォルダがあります。


C:\Users\username\AppData\Roaming
使用しているPCおよびユーザーががドメインに参加している場合、Roamingフォルダ配下のデータはPCからPCへと引き継ぐことができます。別のPCにログインしてもデスクトップ環境は引き継がれる、といったケースです。
もしRoamingフォルダにマルウェアなどの悪いファイルが存在していた場合、その悪いファイルもPCからPCへと引き継がれてしまいます。

C:\Users\username\AppData\Local
Localフォルダ配下には、そのPC固有のデータが格納されます。Roamingフォルダとは異なりPCからPCへと引き継がれることはありません。

C:\Users\username\AppData\LocalLow
LocalLowフォルダにはLocalフォルダと同様に、そのPC固有のデータが格納されます。信頼性の低いアプリケーションやセキュリティ的に制限のかけられたアプリケーションが使用します。例えば、保護モード(protected mode)が有効になっているInternet ExplorerはLocalLowフォルダにのみデータの書き込みが可能です。

参考
https://www.howtogeek.com/318177/what-is-the-appdata-folder-in-windows/
https://blogs.technet.microsoft.com/jpntsblog/2010/04/06/240/
https://docs.microsoft.com/en-us/previous-versions/windows/it-pro/windows-server-2003/cc781142(v=ws.10)

 | HOME |  »

奇妙な風景 Unique Scene
<< >>

プロフィール


最新記事


最新コメント


最新トラックバック


月別アーカイブ


カテゴリ


スポンサード リンク


FC2カウンター


検索フォーム


RSSリンクの表示


リンク


ブロとも申請フォーム


QRコード