如何在文件中grep一块零（擦除区域）？

Question

如何 grep 文件中的零块（用零擦除的区域）？

我有一个包含宏的恶意 Word 文档。防病毒解决方案清除了此 Word 文档中的零块。我想在将来分析...文件被修改之前检测到这一点。

我试过这个：

xxd -u -p /your/maldoc | tr -d '\n' | grep -c '44656C65746564204279204B6173706572736B79'

它检测到“已被 Kaspersky Lab AV 删除”，但我还想检测其他 av 解决方案并 grep 查找零块。

提前感谢您的帮助！

Answer 1

听起来很像您应该解决实际问题（您的“分析”程序可能因无效输入而崩溃）。您提出的方法不适用于流式传输，并且会出现误报。

也就是说，您可能只是在循环中转储块并检查它的 sha1sum 或 md5sum。

---

更新我试图找到一种优雅的使用方式，例如dd 在循环中处理块，但如果没有手动偏移计算，我无法让它优雅地工作。

不过，这里有一个指向另一个似乎对这个方向有帮助的答案的链接：

• Loop through binary data chunks from stdin in Bash