Belge ve betik ön incelemesi: makrolar, PDF’ler, PowerShell
Şüpheli Office belgelerini oletools ile, PDF’leri pdfid ve pdf-parser ile açmadan inceler, gizlenmiş JavaScript, VBScript ve PowerShell komutlarını güvenli lab’da çözerek göstergeleri çıkarırsın.
Seviye 301 · 17 ders · 15 pratik lab
Dersler
Güvenli çalışma
- Belgeleri açmadan incelemek: yalıtım, salt okunur ve parola korumalı arşiv
- OLE ve OOXML: Office dosyalarının içi
- Kısa görev: beş ekten hangilerinin makro içerdiğini belirle
Office belgeleri
- olevba ile VBA makrolarını çıkarmak ve şüpheli anahtar sözcükler
- oledump ile akışları incelemek
- Excel 4.0 makroları ve uzak şablon enjeksiyonu izleri
- RTF ve gömülü OLE nesneleri: rtfobj
- Kısa görev: bir makronun indirdiği adresi ve bıraktığı dosyayı bul
PDF ve arşivler
- pdfid ile PDF’te riskli öğeleri saymak
- pdf-parser ile nesneleri ve akışları açmak
- LNK, ISO ve HTML kaçakçılığı ile gelen ekler
- Kısa görev: bir PDF’teki gömülü JavaScript’i çıkar
Betik çözümleme
- Gizlemeyi çözmenin ilkeleri: çalıştırmadan anlamak
- Base64, sıkıştırma ve dize birleştirme ile gizlenmiş PowerShell
- JavaScript ve VBScript yükleyicilerini adım adım çözmek
- CyberChef tarifleriyle tekrarlanabilir çözümleme
- Bitirme görevi: bir oltalama ekinin tüm zincirini çöz ve göstergeleri raporla
Pratik lablar
- Hangi ekler makro içeriyor: Beş etkisiz eki açmadan incele ve makro içerenleri belirle.
- OOXML belgesinin içini aç: Bir Office dosyasını arşiv olarak aç, ilişki dosyalarını incele ve dış bağlantıyı bul.
- Güvenli inceleme düzenini kur: Ekleri parola korumalı arşivde saklayan, salt okunur inceleyen ve özetleyen bir çalışma düzeni betiği yaz.
- olevba ile makroyu çıkar: Bir belgenin VBA kodunu çıkar ve işaretlenen şüpheli anahtar sözcükleri listele.
- Makronun indirdiği adresi bul: Makro kodunu çalıştırmadan okuyarak indirme adresini ve bırakılan dosya yolunu bul.
- oledump ile akışları incele: Akışları listele, makro taşıyanı aç ve dizgileri bölerek gizlenmiş adresi yeniden birleştir.
- Uzak şablon izini bul: Belgenin ayar ilişkilerinde uzak şablon adresini bul.
- Excel 4.0 makrolarını oku: Gizli sayfadaki eski tür makro hücrelerini ortaya çıkar ve formülleri sırala.
- RTF içindeki gömülü nesneyi çıkar: rtfobj ile gömülü OLE nesnesini çıkar, türünü belirle ve özetini al.
- pdfid ile riskli öğeleri say: Üç PDF'te JavaScript, otomatik eylem ve gömülü dosya öğelerini say.
- PDF'teki gömülü JavaScript'i çıkar: pdf-parser ile ilgili nesneyi bul, akışı aç ve betiği dosyaya yaz.
- LNK ve ISO ile gelen eki incele: ISO içindeki kısayolun hedef komutunu çalıştırmadan çöz ve zincirin sonraki adımını belirle.
- Base64 ile gizlenmiş komutu çöz: Kodlanmış PowerShell dizgisini çöz ve okunur biçimde yaz.
- CyberChef tarifi ile tekrarlanabilir çözümleme: Sıkıştırma ve Base64 katmanlarını açan tarifi kur ve iki örnekte de çalıştığını göster.
- Oltalama ekinin tüm zincirini çöz: Etkisiz ekte belge, makro ve betik katmanlarını çalıştırmadan çöz ve göstergeleri raporla.
Kurs hakkında
Şüpheli Office belgelerini oletools ile, PDF’leri pdfid ve pdf-parser ile açmadan inceler, gizlenmiş JavaScript, VBScript ve PowerShell komutlarını güvenli lab’da çözerek göstergeleri çıkarırsın.
Ne öğreneceksin
- Güvenli çalışma
- Office belgeleri
- PDF ve arşivler
- Betik çözümleme
Ön koşullar
Aynı yolun 101 ve 201 düzeyindeki konularına hâkim olmalısın.
Lab ortamı
Dersler, tarayıcında açılan sana özel bir Kali Linux terminalinde geçer. Kurulum gerekmez; lab her derste temiz başlar.
Sık sorulan sorular
- Bu kurs benim düzeyime uygun mu?
- Kurs 301 düzeyindedir; daha düşük düzeydeki kursların konularını bildiğin varsayılır.
- Kurulum gerekir mi?
- Hayır. Her ders tarayıcında açılan sana özel bir lab ortamında geçer.
- Dersler nasıl işleniyor?
- Her ders 8 ile 10 adımdan ve bir kısa sınavdan oluşur. İlk adımlarda yazman gereken komut gösterilir, sonraki adımlarda yardım azalır; iki denemede takılırsan çözüm açılır.
- Ücretsiz deneyebilir miyim?
- Evet. Her kursun ilk üç dersi ücretsizdir.