malice/fileinfo

fileinfo

![Circle CI]([] ![License]([]

Malice File Info插件（集成exiftool、TRiD和https://github.com/ssdeep-project/ssdeep%E5%B7%A5%E5%85%B7%EF%BC%89

本仓库包含Malice平台FileInfo插件的Dockerfile：malice/fileinfo。

依赖

• https://hub.docker.com/_/ubuntu/

安装

1. 安装https://www.docker.io/%E3%80%82
2. 从Docker Registry拉取信任镜像：docker pull malice/fileinfo

核心功能

1. 元信息提取：通过exiftool获取文件的详细元数据（如CPU架构、文件大小、MIME类型等）。
2. 文件类型识别：使用TRiD分析文件特征，识别文件类型及相关格式。
3. 模糊哈希生成：通过ssdeep生成文件的模糊哈希值，用于相似文件比对。

使用场景

• ***分析：提取可疑文件的元信息及特征，辅助威胁检测。
• 文件属性检查：验证文件的真实类型和元数据。
• 相似文件比对：通过模糊哈希识别同类文件或变种。

配置说明

运行镜像时支持以下选项：

• --verbose/-V：输出详细信息
• --table/-t：以Markdown表格格式输出结果
• --mime/-m：仅输出MIME类型
• --callback/-c：将结果POST到Malice webhook（需设置$MALICE_ENDPOINT环境变量）
• --proxy/-x：设置webhook端点的代理（需设置$MALICE_PROXY环境变量）
• --elasticsearch：指定Elasticsearch URL存储结果（需设置$MALICE_ELASTICSEARCH_URL环境变量）
• --timeout：设置插件超时时间（默认10秒，可通过$MALICE_TIMEOUT调整）

部署示例

基础使用

挂载本地目录到容器的/malware路径，分析指定文件：

bash
docker run -v /本地文件路径:/malware malice/fileinfo 目标文件名

以表格格式输出结果

bash
docker run -v /本地文件路径:/malware malice/fileinfo --table 目标文件名

输出仅MIME类型

bash
docker run -v /本地文件路径:/malware malice/fileinfo --mime 目标文件名

示例输出

JSON格式

json
{
  "magic": {
    "mime": "application/x-executable",
    "description": "ELF 64-bit LSB executable, x86-64, version 1 (SYSV), dynamically linked, interpreter /lib64/ld-linux-x86-64.so.2, for GNU/Linux 2.6.26, BuildID[sha1]=8ffd894e500a9f125b32fa8a3f700f0f710961de, stripped"
  },
  "ssdeep": "768:C7tsNKQhyl96U9eJqaZ2e5ofMolkcksNmisf4BB5iqboecL027:DkXe1UHfM4N3sfezcL0",
  "trid": [
    "50.1% (.) ELF Executable and Linkable format (Linux) (4025/14)",
    "49.8% (.O) ELF Executable and Linkable format (generic) (4000/1)"
  ],
  "exiftool": {
    "CPUArchitecture": "64 bit",
    "CPUByteOrder": "Little endian",
    "CPUType": "AMD x86-64",
    "ExifToolVersionNumber": "10.25",
    "FileSize": "51 kB",
    "FileType": "ELF executable",
    "FileTypeExtension": "",
    "MIMEType": "application/octet-stream",
    "ObjectFileType": "Executable file"
  }
}

Markdown表格格式

Magic

SSDeep

• 768:15jQ4nVHQaeO379u4XckKVCsknBN9A4hUnDxDiNZ957ZpK0IUUiM95Zdz:15jQ4nVHQaeO9uwckKuBN9A4UnDxcbFi

TRiD

• 30.4% (.EXE) Win32 Executable MS Visual C++ (generic) (31206/45/13)
• 26.9% (.EXE) Win64 Executable (generic) (27625/18/4)
• 25.9% (.EXE) Win32 EXE Yoda's Crypter (26569/9/4)
• 6.4% (.DLL) Win32 Dynamic Link Library (generic) (6578/25/2)
• 4.3% (.EXE) Win32 Executable (generic) (4508/7/1)

Exiftool

...（省略部分内容）...

扩展文档

• https://github.com/malice-plugins/fileinfo/blob/master/docs/elasticsearch.md
• https://github.com/malice-plugins/fileinfo/blob/master/docs/web.md
• https://github.com/malice-plugins/fileinfo/blob/master/docs/callback.md

问题反馈

发现bug、需要更多功能或文档缺失？请随时https://github.com/malice-plugins/fileinfo/issues/new%E3%80%82

变更日志

查看https://github.com/malice-plugins/fileinfo/blob/master/CHANGELOG.md%E3%80%82

贡献

https://github.com/malice-plugins/fileinfo/graphs/contributors%E3%80%82%E8%AF%B7%E6%9B%B4%E6%96%B0%60CHANGELOG.md%60%E5%B9%B6%E6%8F%90%E4%BA%A4https://help.github.com/articles/using-pull-requests/%E3%80%82

许可协议

MIT版权所有 (c) 2016-2018 blacktop