EKFiddle 使用教程

诸星葵Freeman

于 2024-08-31 08:35:51 发布

阅读量933

点赞数 20

本文链接：https://blog.csdn.net/gitblog_00399/article/details/141739633

版权

EKFiddle 是一个基于 Fiddler Classic web debugger 的扩展，用于分析恶意网络流量。它提供了一系列高级功能，如正则表达式支持、YARA 支持、高级过滤器等，帮助研究人员更好地理解和分析恶意软件、漏洞利用套件和恶意流量。

首先，下载并安装 Fiddler Classic：

https://www.telerik.com/fiddler

下载 EKFiddle 扩展文件，并将其放入 Fiddler 的 Scripts 文件夹中：

%AppData%\Local\Programs\Fiddler\Scripts

启动 Fiddler，然后进入 Tools -> Options，在 Scripting 选项中，将默认（JScript.NET）更改为 C#。

根据你的操作系统将 CustomRules.cs 下载或克隆到适当的文件夹中：

启动 Fiddler 完成 EKFiddle 的安装。

使用 EKFiddle 的高级过滤器和正则表达式功能，可以有效地分析和识别恶意流量。例如，使用正则表达式来匹配特定的恶意 URL 或域名。

// 示例正则表达式
string regex = @"evil\.com";
if (oSession.HostnameIs(regex)) {
    oSession["ui-color"] = "red";
}

使用 EKFiddle 的 AutoBrowser 功能，可以自动化加载一系列 URL，并记录所有流量。

// 示例自动化浏览任务
string[] urls = { "http://example.com", "http://evil.com" };
foreach (string url in urls) {
    oSession.Navigate(url);
}

FiddlerCore 是 Fiddler 的一个子项目，允许开发者在自己的应用程序中嵌入 Fiddler 的代理功能。这对于需要自定义网络流量分析的应用非常有用。

YARA 是一个用于恶意软件识别和分类的工具，EKFiddle 集成了 YARA 支持，可以更精确地识别和分类恶意流量。

Wireshark 是一个广泛使用的网络协议分析工具，EKFiddle 可以与 Wireshark 配合使用，通过导入 PCAP 文件来分析网络流量。

通过以上步骤和示例，您可以快速上手并充分利用 EKFiddle 的功能，进行高效的恶意流量分析。

关注