Rein Interesse halber ... was würdest du dir da ansehen um das rauszufinden?
Also im Falle des Files, welches ich auch habe und definitiv ein Textfile ohne ausführbaren Code ist würd mich das sehr interessieren!
Dass als txt getarnte Binärdateien Schadcode enthalten können ist klar, hier bei diesen Dateien fehlt mir einfach etwas der Ansatzpunkt was es da haben könnte
Bei einem Text File ist es relativ einfach.
Zunächst habe ich mir etwaige Header angeschaut. Das Kommandozeilen Tool
file liefert folgendes zurück:
$ file All\ Emails\ \(Subscription\).txt
All Emails (Subscription).txt: Non-ISO extended-ASCII text, with CRLF line terminators
Scheint also tatsächlich eine Text Datei mit "komischen" Zeichen zu sein.
Das anschauen der ersten Bytes der Datei bestätigt das:
$ od -bc All\ Emails\ \(Subscription\).txt | head
0000000 151 156 166 151 163 164 141 100 160 157 163 164 145 157 056 141
i n v i s t a @ p o s t e o . a
0000020 164 015 012 147 162 141 156 056 162 165 163 100 147 155 141 151
t \r \n g r a n . r u s @ g m a i
0000040 154 056 143 157 155 015 012 141 156 164 150 157 156 171 056 162
l . c o m \r \n a n t h o n y . r
0000060 151 154 145 171 100 160 162 157 160 145 170 056 156 145 164 056
i l e y @ p r o p e x . n e t .
0000100 141 165 015 012 164 150 165 150 157 156 147 056 166 157 071 061
a u \r \n t h u h o n g . v o 9 1
Ist also tatsächlich eine Text Datei.
Um nun sicher zu sein, dass nicht etwaige Decoding bzw. Parsing Schwachstellen ausgenutzt werden, habe ich alle Mail Adressen aus der Datei extrahiert und in einer neuen Datei gespeichert:
$ grep -E "\b[A-Za-z0-9._%+-]+@[A-Za-z0-9.-]+\.[A-Za-z]{2,6}\b" All\ Emails\ \(Subscription\).txt >> test.txt
Ein kurzer Vergleich zeigt, dass die originale Datei mehr Zeilen/Einträge enthält als meine extrahierten Mails:
$ wc -l All\ Emails\ \(Subscription\).txt
1075381 All Emails (Subscription).txt
$ wc -l test.txt
1074653 test.txt
Konkret kommen also noch 728 Zeilen in Frage.
Da das eine überschaubare Menge ist, habe ich sie mir mithilfe von
diff anzeigen lassen.
Der Großteil waren hierbei Mail Adressen, die nicht von meinem Pattern erfasst wurden. Ein etwas interessanterer (und komischer) Eintrag war allerdings dieser:
$ cat All\ Emails\ \(Subscription\).txt | grep HTTP -B 1 -A 9
=-=-=-{ Заголовки }-=-=-=
HTTP/1.1 200 OK
Date
Content-Type
Transfer-Encoding
Connection
Server
Vary
Request-Time
=-=-=-{ Куки }-=-=-=
=-=-=-{ Тело ответа }-=-=-=
Die drei russischen Textbausteine entsprechen: "Header", "Cookie" und "Response body".
Dies scheint einfach nur ein Eintrag zu sein, der nicht hätte hier stehen müssen, aber nichts "anstellen" kann.
Möglicherweise eine schlampige Programmierung. Anders kann ich mir diesen leeren Request nicht erklären.
Auf jeden Fall ist damit klar, dass es sich einfach um eine "normale" Text Datei mit Sonderzeichen handelt und definitiv keinen Parsing Exploit oder ähnliches enthält.
