Como eu modifico um arquivo executável para obtê-lo além dos filtros de anexo de e-mail?

Question

Estou tentando enviar um utilitário por e-mail ( HJSplit ) porque não posso fazer o download diretamente no meu computador de trabalho . É claro que os filtros da minha empresa estão aí para me impedir de fazer exatamente isso. Mas porra eu estou tentando fazer algum trabalho, e eu não posso abrir este arquivo de log de 500 MB sem dividi-lo primeiro. (O Bloco de Notas não pode sequer manipular 100 MB. E o UltraEdit trava por algum motivo, mesmo que ele seja capaz de lidar com isso.)

Eu abri o ZIP do utilitário em um editor hexadecimal (UltraEdit) e modifiquei alguns bits, e mudei a extensão para JPG. Isso passou pela regra de não executáveis do Gmail, mas ainda foi bloqueada pelo servidor Exchange da minha empresa.

Independentemente da (a) moralidade do que estou fazendo, estou curioso, quais bits precisam ser alterados para tornar a natureza de um arquivo indistinguível ou não identificável (ou identificável como um tipo benigno) para um filtro? / p>     

Answer 1

Algo que o tornará indistinguível na maioria dos casos é a criptografia do arquivo. Existem alguns utilitários que irão realizar isso para você. Eu recomendaria o GPG para Linux ou o TrueCrypt para Windows. (Sim, eu entendo que TrueCrypt não é mais suportado, mas porque você só quer ignorar um filtro, você deve ser bom.)

E, claro, você pode abrir o utilitário em um editor HEX e excluir alguns dos bytes "Mágicos". Eu diria que os primeiros 100 valores devem funcionar e copie-os em um arquivo separado que você enviará por e-mail com o próprio utilitário (sem os primeiros cem bytes).

Espero que isso ajude!

    

Answer 2

Descobri que no meu caso de tentar roubar um EXE compactado, eu tive que mudar não apenas os dois primeiros bytes (conhecidos como "o número mágico"), mas também uma seqüência de bytes soletrando o nome do arquivo compactado. / p>

Por exemplo, o ZIP original começou com PK , designando um arquivo compactado:

EumudeiparaBM,designandoumarquivodebitmap:

Além disso, o CEP original soletrou hjsplit.exe , então alterei para hjsplit.bmp . Eu renomei o arquivo para hjsplit.bmp também.

    

Answer 3

uuencode-o. Isso vai transformar o arquivo em texto simples. Em seguida, remova a primeira linha (aquela que começa com algo como begin 644 filename ).

Você agora tem apenas texto simples regular.

Envie o texto, adicione a primeira linha novamente e decodifique-a.