mandiant/capa-rules

rule idea: zlib fast inflate

Open

#494 ouverte le 4 nov. 2021

Voir sur GitHub
 (2 commentaires) (0 réactions) (0 assignés) (234 forks)github user discovery
good first issuerule idea

Métriques du dépôt

Stars
 (721 stars)
Métriques de merge PR
 (Métriques PR en attente)

Description

see source: https://github.com/madler/zlib/blob/master/contrib/masmx86/inffas32.asm

I've seen this code used in shellcode; we can hit on the hard-coded strings or the assembly itself.

strings:

  • Fast decoding Code from Chris Anderson
  • invalid literal/length code
  • invalid distance code
  • invalid distance too far back

Guide contributeur

Direction de recherche
Étudiez les règles capa existantes pour des motifs similaires, puis créez une règle qui correspond aux chaînes fournies ou aux instructions d'assemblage. Utilisez les tests de règles capa pour valider.
Stack technique
python
Domaine
securitytooling
Type d'issue
Fonctionnalité
DifficultéDifficulté estimée pour un nouveau contributeur, de 1 pour un très petit changement à 5 pour un travail expert.
3
Temps estiméFourchette de temps approximative pour investiguer, implémenter, tester et préparer une pull request.
Une demi journée
Statut d'activitéDisponibilité apparente de l'issue : fraîche, active, ancienne, bloquée ou en attente d'un mainteneur.
Active
ClartéClarté avec laquelle l'issue explique le changement attendu, les critères d'acceptation et la prochaine étape.
Plutôt claire
Prérequis
Assemblycapa rules syntax
Accessibilité débutantScore de 1 à 100 estimant l'accessibilité de cette issue pour un premier contributeur.
55