cccs/assemblyline-service-floss

Floss Service

!*** !*** !GitHub !GitHub !GitHub Issues !License

镜像概述和主要用途

Floss Service是Assemblyline框架中的一个服务，它使用FireEye Labs Obfuscated String Solver (FLOSS)工具来查找混淆字符串，如堆叠字符串(stacked strings)。该服务主要用于软件分析和工程过程中提取隐藏的字符串信息。

FLOSS项目地址：https://github.com/fireeye/flare-floss/
许可证：Apache License 2.0 (https://github.com/fireeye/flare-floss/blob/master/LICENSE.txt)

核心功能和特性

字符串提取功能

1. 可执行文件/Windows文件处理:
   • 静态字符串模块（Unicode和ASCII），仅匹配IOC
   • 解码字符串模块
   • 堆叠字符串模块

注意：当非深度扫描模式时，服务会根据提交文件的大小跳过某些检测模块（以防止服务积压和超时）。默认值有意设置为较低的大小。可以根据AL实例的流量/硬件情况，在服务配置中轻松更改过滤器。

使用场景和适用范围

Floss Service适用于以下场景：

• ***软件分析中的字符串提取
• ***工程过程中发现隐藏/混淆的字符串
• 威胁情报收集和IOC提取
• 自动化***代码分析流程

该服务特别适合处理Windows可执行文件，能够有效提取各种类型的混淆字符串，帮助安全分析师快速识别潜在威胁指标。

详细的使用方法和配置说明

服务配置参数

结果输出

1. 静态字符串（ASCII、UNICODE）:

   • 匹配感兴趣IOC模式的字符串

2. FF解码字符串:

   • 所有字符串
   • 匹配感兴趣IOC模式的字符串

3. FF堆叠字符串:

   • 所有字符串，按相似度分组（由fuzzywuzzy库确定）
   • 匹配感兴趣IOC模式的字符串

镜像变体和标签

Assemblyline服务基于https://hub.docker.com/r/cccs/assemblyline-v4-service-base%E6%9E%84%E5%BB%BA%EF%BC%8C%E8%AF%A5%E5%9F%BA%E7%A1%80%E9%95%9C%E5%83%8F%E5%9F%BA%E4%BA%8EDebian 11和Python 3.11。

Assemblyline服务使用以下标签定义：

运行服务

该服务是Assemblyline框架的一部分，设计用于在Assemblyline框架中运行。

本地测试

如果要在本地测试此服务，可以直接从shell运行Docker镜像：

bash
docker run \
    --name Floss \
    --env SERVICE_API_HOST=http://`ip addr show docker0 | grep "inet " | awk '{print $2}' | cut -f1 -d"/"`:5003 \
    --network=host \
    cccs/assemblyline-service-floss

添加到Assemblyline部署

要将此服务添加到您的Assemblyline部署中，请遵循以下指南： [***]

相关文档

Assemblyline的一般文档可在以下地址找到： [***]