mandiant/capa-rules

rule idea: zlib fast inflate

Open

#494 aperta il 4 nov 2021

Vedi su GitHub
 (2 commenti) (0 reazioni) (0 assegnatari) (234 fork)github user discovery
good first issuerule idea

Metriche repository

Star
 (721 star)
Metriche merge PR
 (Metriche PR in attesa)

Descrizione

see source: https://github.com/madler/zlib/blob/master/contrib/masmx86/inffas32.asm

I've seen this code used in shellcode; we can hit on the hard-coded strings or the assembly itself.

strings:

  • Fast decoding Code from Chris Anderson
  • invalid literal/length code
  • invalid distance code
  • invalid distance too far back

Guida contributor

Direzione di ricerca
Studia le regole capa esistenti per modelli simili, quindi crea una regola che corrisponda alle stringhe fornite o alle istruzioni assembly. Usa il test delle regole di capa per convalidare.
Tech stack
python
Dominio
securitytooling
Tipo issue
Funzionalità
DifficoltàQuanto dovrebbe essere impegnativa per un nuovo contributor.
3
Tempo stimatoTempo stimato per completare e verificare uno scope piccolo.
Mezza giornata
Stato attivitàQuanto è probabile che la issue sia ancora attiva e reviewable.
Attiva
ChiarezzaQuanto chiaramente la issue descrive problema, scope e risultato atteso.
Abbastanza chiara
Prerequisiti
Assemblycapa rules syntax
Adatta ai principiantiQuanto la issue è adatta a contributor alla prima esperienza.
55