web-dev-qa-db-ja.com

これはエクスプロイトの試みですか？どうすれば分析できますか？

編集：MinGWまたは.bash_historyを気にしないでください、それはありそうもないことがわかります。誰かが私を攻撃し、それらのバイトが誤って頻繁に使用されるファイル.bash_historyになってしまうことは、それほどありそうにありません。カナリア付きのNOPスレッドを除いて、私が考えることができるのは画像の一部だけですが、フラグメントは画像エディタでは何のようにも見えません。 ＃909090グレー

私はプログラミングをしていますが、セキュリティ関連は何もしていません。また、コンピューターでサーバーを実行していません。数日前にCHKDSK/Fを実行しなければならなかったときに、.bash_historyがシステムによって破損した可能性があると思います。しかし、コンピュータのどこかにエクスプロイトのようなバイトがあっただけで、緊張します。

私はMinGWを使用して、Windowsでunixyのものをコンパイルし、unixyShellコマンドを使用できるようにしています。以前に使用したさまざまなコマンドのパラメーターを覚えておくために、.bash_historyをよくgrepします。 （これに組み込みのbash関数を使用しない理由を聞かないでください。ただの習慣です）

最近、〜/ .bash_historyで、ほとんどが0x90-NOPで構成されるバイナリバイトの長い実行を見つけました。これには、ほとんど有効な命令にアセンブルされる他のバイナリバイトの短い実行があります。

繰り返し実行されるのは、82 20 f8 7d 2c 61 0a de 90 90 90 [その後90 ...繰り返される]

オンライン逆アセンブラは言う

82      (bad)
20f8    and al,bh
7d2c    jge $+2c
61      (bad)
0ade    or bl,dh
90      nop
90      nop
90      nop
90      nop
90      nop
90...   nop... repeated

これは、NOPスレッドを使用したバッファオーバーラン攻撃の一部である可能性がありますか？この種のことについてはあまり知らず、これらの特定の命令がどのように何かを実行できるか、またはそれらがどのように実行されるかを理解できません。しかし、それらがどのようにして私の.bash_historyに格納されたのか、または他に何がこのようなデータを生成するのかもわかりません。データの一部のみが.bash_historyによって「キャプチャ」されたため、より明白な悪意のあるコードが除外され、潜在的なNOPスレッドのみが残ったと考える理由があります。

それらは、約850のNOPを挟んで何度も繰り返されます。

皆さんはどう思いますか？これが適切なフォーラムではない場合、私がどこに投稿すべきかについて何か提案はありますか？

attacksbuffer-overflowinvestigation
1
Jonathan J. Bloggs

NOPは単なるパディングです。 thatが懸念される場合は、バイナリのファイル分析または動作分析（何を呼び出すか、どのファイルをロードするかなど）を実行するのが最善の策です。 Virustotal、ThreatConnect、ThreatCrowdなどのサイトでmd5/sha1チェックサムを検索できます。Windowsにコンパイルしているとおっしゃっていたので、NOPはWindowsで機能するためのパディングとして使用されていると思います。繰り返しになりますが、安全のために、時間を無駄にする前に、Anubis、Virustotalにアップロードしてください。極端なものが見られた場合（オープンソースは潜在的に数千のダウンロードに変換されます）、誰かが奇妙なファイルをアップロードしました

1
munkeyoto