自分用の備忘録。定期的に記事を見直し、修正が必要な部分は修正すること。
PowerShellのバイト配列をファイルに書き込むには、以下のようなPowerShellスクリプトを作成して実行する。 GitHubにスクリプトをアップロード済。 後日、もっと手っ取り早い方法を知った。 CyberChefの From Decimalはpythonのchr()と同様の働きをする。To Decimalはord()と同様の働きをする。 結論：CyberChefは万能 参考https://eddiejackson.net/wp/?p=23393
RC4暗号が実装されたプログラムのソースコードや逆アセンブルにはどのような特徴があるかのメモ。RC4暗号についてはこちら。
ASLR (Address space layout randomization)とは、実行プログラムがメモリ領域に格納するデータのアドレスをランダム化する技術のこと。 プログラムを攻撃から守るためのセキュリティ機能ではあるものの、プログラムをデバッガ等で解析する際は、アドレスが固定されていたほうが解析しやすい。 解析対象がWinodwsファイルの場合、CFF Explorerを利用してASLRを無効化できる。 ファイルをCFF Explorerで開き、Optional HeaderセクションからDllCharactersiticsのClick hereをクリックする。"DLL can move"の項にチェックが入っている場合はASLRが有効化されている。無効にしたい場合はチェックを外す。 参考https://www.sans.org/blog/tools-for-analyzing-static-properties-of-suspicious-files-on-windows/https://www.sans.org/blog/dealing-with-aslr-when-analyzing-malware-on-windows-8-1/