kiewtai
v0.5
Kiewtaiは、Kaitaiプロジェクトのすべてのバイナリパーサーを利用できるようにするHIW HEXエディターのHEM（別名プラグイン）です。これは、多数の人気のあるファイル形式でマークおよびデコードされたすべてのフィールドを取得できることを意味します。 Kaitai形式を使用して、分析しているファイル形式の新しいテンプレートを作成することもできます。
ここをクリックして、Kaitaiがサポートするすべての形式のリストをご覧ください。
動作しているのを見たいですか？いくつかのスクリーンショットをご覧ください！
自分で構築したくない場合は、[リリース]タブをご覧ください
kiewtai.hem hemフォルダーにコピーします。これは、 hiewをインストールした場所です。
F11を押して、 Kiewtai: Kaitai Struct format parsersを選択します。
サポートされているすべてのパーサーのリストが表示され、必要なパーサーを選択します。
Kiewtaiは、さまざまなフィールドを強調表示し、フィールドを説明するコメントを追加します。
Kiewtaiに大きなファイルのセクションを分析したい場合（たとえば、ファームウェアBLOBまたはファイルシステムイメージがある場合）、分析したいセクションをマークするだけです。 DFIRで働いている場合、おそらくこれを「彫刻」と呼んでいます。
F2を押して、単純な解析と詳細な解析を切り替えます。デフォルトの解析モードは冗長です。必要に応じてこれを試してください。
F3を押して、コメントを有効または無効にします。 Kiewtaiは、各フィールドを説明するHiewにコメントを追加します。これらは、ナビゲートするときに表示されます。 F12でそれらを閲覧して検索することもできます。
F4を押して、マーカーを有効または無効にします。 Kiewtaiはデフォルトでカラーマーカーを追加するため、さまざまなフィールドがどこにあるかを簡単に確認できます。これが気に入らない場合はF4を押してください。
F5を押してパーサーを検索します。パーサーのリストはかなり長いです。F5 F5押して、必要に応じて検索用語を入力してください。
あなたがHiewユーザーであり、より良いドキュメントを作成するのを手伝いたい場合は、ここをクリックしてください！
このプロジェクトでは、次のサードパーティライブラリを使用しています。
バグ、機能不足、またはドキュメントについて問題を提出してください！
ああ、そして私はキュータイを「キュータイ」と宣言します。 ？
さまざまなKiewtai画面のスクリーンショットをいくつか紹介します。
魔法、バージョン、記述子、寸法がすべて識別されていることがわかります。
コメントは、KiewtaiがCursorがapplicationIdフィールドにあることを知っていることを示しています。
個々のr/g/bバイトはhiligtedされているため、データがストライプに見えるようになります。それがあまりにも多くの冗長である場合、パーサーリストで
F2を押し、Kiewtaiは生成する詳細レベルを減らします。
複数のカイタイパーサーを一度にロードできます。このスクリーンショットは、同時にロードされたDOSMZとMicrosoftPeパーサーを示しています。
埋め込まれたファイルがある場合は、単にマークを付けてください。Kiewtaiはそのブロックのみを分析します。
フィールド名は、ファイルをナビゲートするときにコメントとして表示されます。
Kaitaiには、すでに作成された多数の人気のある形式のパーサーがあります。ここで完全なリストをオンラインで見ることができます。リストは長く、 F5と入力してセラチを使用します。
ここで、KiewtaiはPCAPファイルを解析し、PCAP内のすべてのTCP、UDP、ICMP、パケット、およびイーサネットフレームが自動的に認識されます。これはすべて、PCAPパーサーをロードするときに自動的に発生しました！
自分で構築したくない場合は、[リリース]タブをご覧ください
Visual Studio 2019を使用してKiewtaiを開発しました。
このプロジェクトでは、一部の依存関係にサブモジュールを使用しています。このようなコマンドを使用して、必要なすべてのコードを取得してください。
git submodule update --init --recursive
チョコレートを使用する場合、このコマンドで十分なはずです。
> choco install make openjdk mingw
make.exeすべてが機能した場合は、 kiewtai.hemというファイルが必要です
The system cannot find the file specified場合は、objcopy.exe、make.exe、kaitai-struct-compiler.batをすべて%PATH%に確認してください。
testディレクトリには、いくつかの一般的な形式が期待どおりに機能していることを確認するいくつかの簡単なテストがあります。
testディレクトリをmake実行するだけです。
Tavis ormandy [email protected]
