使用GitHub解码器脚本解码有效负载

Question

摘要： 我正在分析一个带有实时恶意软件（出于教育目的）的pcap文件，并使用Wireshark——我设法从HTTP流和一些可执行文件中提取了一些对象

在我的分析过程中，我发现了暗示使用了Fiestka漏洞工具包的实例

在谷歌上搜索了很多次之后，我遇到了一位GitHub的代表：https://github.com/0x3a/tools/blob/master/fiesta-payload-decrypter.py

我想要实现什么

I am trying to run the python fiesta-payload-decrypter.py against the malicious executable (extracted from the pcap).

到目前为止我做了什么

I've copied the code onto a plain text and saved it as malwaredecoder.py. - This script is saved in the same Folder (/Download/Investigation/) as the malware.exe that I want to run it against.

What's the Problem?

Traceback (most recent call last):
      File "malwaredecoder.py", line 51, in <module>
        sys.exit(DecryptFiestaPyload(sys.argv[1], sys.argv[2]))
      File "malwaredecoder.py", line 27, in DecryptFiestaPyload
        fdata = open(inputfile, "rb").read()
    IOError: [Errno 2] No such file or directory: '-'

我正在Kali Linux中运行这个python脚本，非常感谢您的帮助。多谢各位

Answer 1

脚本需要两个参数。。。你在传递什么

看起来它希望args是文件，并将-（破折号）作为输入文件

https://github.com/0x3a/tools/blob/master/fiesta-payload-decrypter.py#L44这里看起来第一个参数是输入文件，第二个是输出文件

试着像这样运行它：

python malewaredecoder.py /Download/Investigation/fileImInvestigating.pcap /Download/Investigation/out.pcap

所有这些都表明，祝你好运，这个脚本看起来很旧，最后一次修改是在2015年