mandiant/capa-rules

rule idea: zlib fast inflate

Open

#494 创建于 2021年11月4日

在 GitHub 查看
 (2 评论) (0 反应) (0 负责人) (234 fork)github user discovery
good first issuerule idea

仓库指标

Star
 (721 star)
PR 合并指标
 (PR 指标待抓取)

描述

see source: https://github.com/madler/zlib/blob/master/contrib/masmx86/inffas32.asm

I've seen this code used in shellcode; we can hit on the hard-coded strings or the assembly itself.

strings:

  • Fast decoding Code from Chris Anderson
  • invalid literal/length code
  • invalid distance code
  • invalid distance too far back

贡献者指南

研究方向
研究现有的capa规则中类似模式，然后创建匹配提供的字符串或汇编指令的规则。使用capa的规则测试进行验证。
技术栈
python
领域
securitytooling
议题类型
功能
难度面向新贡献者的预计实现难度，1 表示很小改动，5 表示专家级工作。
3
预计时间有经验贡献者完成调查、实现、测试并准备 pull request 的粗略时间范围。
半天
活动状态议题当前的可参与程度：新鲜、活跃、陈旧、阻塞或等待维护者输入。
活跃
清晰度议题是否清楚说明期望改动、验收标准和下一步。
基本清晰
前置要求
Assemblycapa rules syntax
新手友好度1-100 的估计分数，表示该议题对首次贡献者的友好程度。
55