mandiant/capa-rules

rule idea: zlib fast inflate

Open

#494 aberto em 4 de nov. de 2021

Ver no GitHub
 (2 comments) (0 reactions) (0 assignees) (234 forks)github user discovery
good first issuerule idea

Métricas do repositório

Stars
 (721 stars)
Métricas de merge de PR
 (Métricas PR pendentes)

Description

see source: https://github.com/madler/zlib/blob/master/contrib/masmx86/inffas32.asm

I've seen this code used in shellcode; we can hit on the hard-coded strings or the assembly itself.

strings:

  • Fast decoding Code from Chris Anderson
  • invalid literal/length code
  • invalid distance code
  • invalid distance too far back

Guia do colaborador

Direção de pesquisa
Estude as regras existentes do capa para padrões semelhantes e crie uma regra que corresponda às strings fornecidas ou às instruções assembly. Use o teste de regras do capa para validar.
Pilha de tecnologia
python
Domain
securitytooling
Tipo Issue
Funcionalidade
DifficultyDificuldade de implementação estimada para um novo contribuidor, de 1 para alterações muito pequenas a 5 para trabalho de nível especializado.
3
Tempo estimadoUm intervalo de tempo aproximado para um colaborador experiente investigar, implementar, testar e preparar um pull request.
Meio dia
Status da atividadeQuão disponível o issue aparece agora: novo, ativo, obsoleto, bloqueado ou aguardando entrada do mantenedor.
Ativo
ClarityCom que clareza o issue explica a mudança esperada, os critérios de aceitação e a próxima etapa.
Principalmente claro
Prerequisites
Assemblycapa rules syntax
Simpatia para novatosUma pontuação de 1 a 100 que estima o quão acessível este issue é para colaboradores iniciantes.
55