我的位置 威胁预警  >  恶意代码公告

使用pyWhat从海量数据中识别出邮件或IP地址

来源:FreeBuf 时间:2021-07-06 阅读次数:

 关于pyWhat

pyWhat可以帮助广大研究人员轻松识别电子邮件、IP地址等数据,我们只需要给它提供一个.pcap文件或某些文本数据,pyWhat就可以给你返回你想要的数据。总的来说,pyWhat可以帮助你识别任何你想识别的东西。

大家可以想象一下,当你遇到了一串莫名其妙的文本,

比如说“5f4dcc3b5aa765d61d8327deb882cf99”,而你又一头雾水的时候,你该怎么办?

没错,在pyWhat的帮助下,我们只需要询问:

what “5f4dcc3b5aa765d61d8327deb882cf99”,那么pyWhat就会告诉你你想知道的一切!

pyWhat的任务就是帮助你识别目标数据,且无论你提供的是一个文件或是文本,甚至是十六进制参数!

 工具下载

广大研究人员可以使用下列命令将该项目源码克隆至本地:


git clone https://github.com/bee-san/pyWhat.git

 使用场景

WannaCry

比如说,你遇到了一个名为WantToCry的新型恶意软件,此时你回想一下Wannacry,记得它之所以被“封杀”是因为一个研究人员在代码中发现了一个kill开关。

当一个硬编码到Wannacry的域名被注册时,病毒就会停止工作。

此时,我们就可以使用pyWhat来识别恶意软件中的所有域名,并使用域名注册器API来注册所有域名。如果这种情况再次发生,你可以在几分钟内就将恶意软件清理掉。

 Pcap文件快速分析

假设你在一次网络攻击活动中获取到了一个.pcap文件,那么pyWhat将可以快速帮助你识别下列信息:

  • 所有的哈希;

  • 信用卡卡号;

  • 加密货币地址;

  • 社保号码;

  • 等等….

只需几秒钟,pyWhat就可以快速帮助你识别目标文件中的关键数据。

 工具使用演示

参考资料:

https://github.com/bee-san/pyWhat/wiki/API

https://github.com/bee-san/what/wiki/Adding-your-own-Regex

https://camo.githubusercontent.com/73633b0c649cf5f6619dc9a1ca6834becf4c9c7461077b7bb92f9ff6cf14d28c/68747470733a2f2f696d672e736869656c64732e696f2f646973636f72642f373534303031373338313834333932373034

 

 

原文来源:FreeBuf

8条评论