GO on if empty {}

Eigenen HTTP Proxy in GO schreiben

Sun, 31 Jan 2016 10:49:39 +0100

Die Programmiersparche GO is geradezu prädestiniert dazu einen eigenen Proxy zu schreiben.

Ein lokaler HTTP Proxy ermöglicht eine vielzahl von Anwendungsgebieten z.B.

Adblocker
Javascript blocker
Manipulieren von HTTP anfragen
Cookie Banner Blocker
Cachen von HTTP anfragen

Gerne wird er auch zum Analysieren von Programmen verwendet die sich nicht so leicht in den Netzwerkverkehr schauen lassen. Berühmte vertreter sind Fiddler oder die Burp Suite.

Der folgende Code dient als Grundlage um selbst solch einen Proxy zu schreiben. Zum ausprobieren einfach folgenden Code in eine Datei kopieren, z.B. in die simple_proxy.go

und über die Kommandozeile (cmd oder bash) starten:

go run simple_proxy.go

Jetzt horcht der Proxy auf Port 8080 auf Anfragen. Eventuell kommt noch eine Meldung der Windows Firewall die nachfrägt ob das gewollt ist, hier kann einfach mit “Zugriff zulassen” bestätigt werden.

Die einfachste möglichkeit ist den Webbrowser über den Proxy laufen zu lassen, dazu in Firefox in den Einstellungen nach Proxy suchen und über den Button “Einstellungen…” öffnen

In Firefox nach "Proxy" suchen

jetzt den Proxy Adresse eintragen (localhost und 8080) und mit OK bestätigen:

Firefox's Proxy Einstellungen

Sobald eine Seite angesurft wird, zeigt der Proxy alle HTTP Anfragen an

Simple_Proxy mit Firefox

Die Performance sollte dank der parallelität von GO in pari stehen mit einer direkten Verbindung. Ein größeres Manko ist das ausbleiben von HTTPS, derzeit nimmt der Proxy nur HTTP anfragen und und lässt HTTPS ins leere Laufen. Die “CONNECT” Methode zum erstellen einer SSL Verbindung über einen Proxy wird einfach ignoriert. Die ist Thema für einen eigenen Artikel.

SHA256 Online berechnen mit GO

Sun, 31 Jan 2016 09:41:50 +0100

Ein Go Playground Snippet um den SHA265 des leerstrings zu berechnen.

Die Variable message kann direkt angepasst werden um etwa die Beispiel auf Wikipedia SHA-2 nach zu vollziehen.

"Franz jagt im komplett verwahrlosten Taxi quer durch Bayern"
d32b568cd1b96d459e7291ebf4b25d007f275c9f13149beeb782fac0716613f8

Zum Playground

PNG Bilder aus Stream und Binärdateien extrahieren

Sun, 31 Jan 2016 08:34:01 +0100

Beim analysieren von Memory Dumps, Firmware, ISO oder Exe-Dateien kommt es vor das dort eingebettete Dateien wieder extrahier werden sollen. Das folgende GO Script sucht nach dem PNG-Header und versucht diese wieder zu dekodieren.

Vorgehen: Hierzu das script file find_png_in_dump.go runterladen und mit

go build find_png_in_dump.go

kompileren. Das Tool kann dann mit

find_png_in_dump.exe -f "c:\pfad\zum\dump.dmp"

gestartet werden. Hier gibt der Parameter -f den Pfad zum Quelle an. Das kann eine beliebige binäre Datei sein.

Beispiel 1 - Dateien aus einem Memory Dump extrahiern

Als erstes Beispiel soll uns ein Memroy Dump des Chrome-Webbrowsers dienen. Unter Windows wird das z.B. mit dem Taskmanager erstellt:

Task Manager Memory Dump erstellen

Taskmanager öffnen
Auf die Details liste gehen und den chorme.exe prozess suchen, hier kann es mehrere geben. Chrome legt für jeden Tab und für Hintergrunddienste einen neuen Prozess an. Am besten etwas rumprobieren oder jenen mit dem größten Speicherplatz auswählen
Rechtsklick auf den Prozess und “Speicherabbild erstellen” bzw. “Create dump file” auswählen
Nach wenigen Sekunden erscheint die Meldung

Task Manager Memory Dump Meldung
Jetzt diesen Pfad an das Tool übergeben

find_png_in_dump.exe -f "c:\users\espress\appdata\local\temp\chrome.dmp"

und sobald es abgeschlossen ist befinden sich alle extrahieren Bilder im aktuellen Verzeichnis

Task Manager Memory Dump Meldung

Wer sich die Ergebnisse genauer ansieht dem fällt auf das sich hier sowohl Bilder aus Chrome selbst (z.B. das sad face icon in der ersten zeile) und auch Bilder aus der aktuell geladenen Website befinden.

Beispiel 2 - TPCDump

tcpDump erlaubt es Netzwerkverbindungen mitzuschneiden und in eine Datei zu speichern. Unter Linux lässt sich tcpdump direkt über die paketverwaltung installieren, bei Windows kann Windump von WinPcap.org benutzt werden. Das Prinzip ist analog zum ersten Beispiel:

Netzwerkverekh mitschneiden

windump -i 2 -s 0 -w out.pcap

Hier bedeutet:

“-i 2” das die 2te Netzwerkadapater benutzt werden soll. Eine Liste alles Netzwerkadapter gibt es mit windump -D .
“-s 0” gibt an das die Pakete vollständig geschrieben werden und
“-w out.pcap” schreibt die pakete direkt in die out.pcap Datei

Windump capture

Netzwerkverkehr erzeugen, z.B. mit dem Browser surfen.
Den Pfad von out.pcap an das Tool übergeben

find_png_in_dump.exe -f "out.pcap"

Das Ergebnis sind alle (unverschlüsselt) übertragenen Bilder

windump captured images

Mankos

Bei veschlüsselten Verbindungen oder komprimierten Dateien kann das Tool natürlich keine PNGs finden. Wobei sich das Tool bei letzterem Punkt leicht erweitern liese, mögliche Erweiterungen:

Mögliche Verbesserungen:

Andere Dateitypen wie BMP, JPEG, DLL, ZIP, doc, xlsx, mp4 …
Komprimierungen wie gzip erkenen
“On the fly anlyse”. Datei offnen halten und beim hinzukommen neuer Daten diese weiter anlysieren. Praktisch bei laufenden pcap files