---

StringSifter 是一款机器学习工具，能够根据字符串与恶意软件分析的相关性自动对其进行排序。

快速链接

• 技术博客文章 - 通过学习对字符串输出进行排序以加速恶意软件分析
• 公告博客文章 - 开源 StringSifter
• DerbyCon 演讲 - StringSifter：通过学习对字符串输出进行排序以加速恶意软件分析
• StringSifter 在 PyPI 上的发布

使用方法

StringSifter 需要 Python 3.9 或更高版本。运行以下命令即可获取代码、执行单元测试并使用该工具：

安装

pip install stringsifter

若需开发，请使用 poetry：

git clone https://github.com/mandiant/stringsifter.git
cd stringsifter
poetry install --with dev

运行单元测试

在 StringSifter 的安装目录下运行单元测试：

poetry run tests -v

命令行运行

通过 pip install 命令会将两个可执行脚本 flarestrings 和 rank_strings 安装到您的 Python 环境中。从源码开发时，请使用 pipenv run flarestrings 和 pipenv run rank_strings。

flarestrings 模仿了 GNU binutils 中 strings 工具的功能，而 rank_strings 则支持管道输入，例如：

flarestrings <my_sample> | rank_strings

rank_strings 支持多个命令行参数。其中位置参数 input_strings 用于指定待排序的字符串文件。可选参数如下：

选项	含义
--scores (-s)	在输出中包含排序分数
--limit (-l)	将输出限制为排名前 limit 的字符串
--min-score (-m)	仅输出分数大于等于 min-score 的字符串
--batch (-b)	指定一个包含多个 strings 输出文件的文件夹，以进行批量处理

排序后的字符串会输出到标准输出，除非指定了 --batch 选项，此时排序结果将被写入名为 <input_file>.ranked_strings 的文件中。

flarestrings 支持 -n（或 --min-len）选项，用于打印长度至少为 min-len 的字符序列，而非默认的 4 个字符。例如：

flarestrings -n 8 <my_sample> | rank_strings

将仅打印并排序长度为 8 个字符或更长的字符串。

通过 Docker 容器运行

• 克隆仓库后，构建容器镜像。在项目根目录下执行：

docker build -t stringsifter -f docker/Dockerfile .

• 运行容器并传入 flarestrings 或 rank_strings 参数以使用相应命令。容器内的命令可以用于管道操作：

cat <my_sample> | docker run -i stringsifter flarestrings | docker run -i stringsifter rank_strings

• 或者不传入任何参数直接运行容器以进入 Shell 提示符，并使用 -v 标志将主机目录挂载到容器中：

docker run -v <my_malware>:/samples -it stringsifter

其中 <my_malware> 包含待分析的样本，例如：

docker run -v $HOME/malware/binaries:/samples -it stringsifter

• 在容器提示符下：

flarestrings /samples/<my_sample> | rank_strings <options>

容器化脚本支持所有 命令行参数。

处理 FLOSS 输出

StringSifter 可应用于任意字符串列表，因此对于希望从其他情报来源（如实时内存转储、沙箱运行结果或包含混淆字符串的二进制文件）中提取信息的安全从业者来说非常有用。例如，FireEye Labs Obfuscated Strings Solver (FLOSS) 与 Strings 工具一样会提取可打印的字符串，但还会揭示经过编码、打包或手动构造在栈上的混淆字符串。它可以作为 Strings 工具的替代品直接使用，因此也可以用 StringSifter 对 FLOSS 的输出进行类似处理，命令如下：

$PY2_VENV/bin/floss –q <options> <my_sample> | rank_strings <options>

注意事项：

1. –q 参数会抑制标题和格式，仅显示提取的字符串。有关 FLOSS 其他选项的更多信息，请参阅其 使用文档。
2. FLOSS 需要 Python 2，而 StringSifter 需要 Python 3。在上述示例中，floss 或 rank_strings 至少需要包含一个指向 Python 虚拟环境的相对路径。
3. FLOSS 也可以作为 独立可执行文件 下载。在这种情况下，无需指定 Python 环境，因为该可执行文件并不依赖于 Python 解释器。

关于运行 strings 的说明

本发行版包含 flarestrings 程序，以确保跨平台输出的一致性。如果您选择运行系统自带的 strings 工具，请注意其选项在不同版本和平台上并不一致：

Linux

大多数 Linux 发行版都包含来自 GNU Binutils 的 strings 程序。为了提取“宽”和“窄”字符串，必须分别运行两次，并将输出重定向到文件中：

strings <my_sample>       > strs.txt   # 窄字符串
strings -el <my_sample>  >> strs.txt   # 宽字符串。注意是追加重定向 ">>"

MacOS

部分随 macOS 一起提供的 BSD 版本的 strings 不支持宽字符。此外，请注意，默认配置下可能禁用了扫描整个文件的 -a 选项。如果没有启用 -a，可能会丢失一些有价值的信息。建议通过 Homebrew 或 MacPorts 安装 GNU Binutils，以获得支持宽字符的 strings 版本。请务必调用正确的 strings 版本。

Windows

Windows 系统默认未安装 strings 工具。我们建议安装 Windows Sysinternals、Cygwin 或 Malcode Analyst Pack 来获取可用的 strings 工具。

讨论

此版本的 StringSifter 是基于与首个 EMBER 数据集相关的恶意软件样本生成的 Strings 输出训练而成的。序数标签通过弱监督方法生成，监督学习则由 Gradient Boosted Decision Trees 使用排序学习目标函数完成。更多技术细节请参阅 快速链接。请注意，目前尚未提供标注数据或训练代码，但我们可能会在未来的版本中重新考虑这一做法。

问题

我们使用 GitHub Issues 来提交 bug 和功能请求。

致谢

• 感谢 FireEye 数据科学团队 (FDS) 和 FireEye 实验室逆向工程团队 (FLARE) 的审阅与反馈。
• StringSifter 由 Philip Tully (FDS)、Matthew Haigh (FLARE)、Jay Gibble (FLARE) 和 Michael Sikorski (FLARE) 共同设计并开发。
• StringSifter 的标志由 Josh Langner (FLARE) 设计。
• flarestrings 是基于优秀的工具 FLOSS 开发的。

StringSifter 快速上手指南

StringSifter 是一款基于机器学习的工具，能够自动根据字符串在恶意软件分析中的相关性对其进行排序，帮助安全研究人员快速定位关键信息。

环境准备

• 操作系统：Linux、macOS 或 Windows（推荐在 Linux 环境下使用以获得最佳兼容性）。
• Python 版本：必须安装 Python 3.9 或更高版本。
• 依赖管理：
  • 普通用户仅需 pip。
  • 开发者如需贡献代码或运行测试，需安装 Poetry。

提示：国内用户建议使用国内镜像源加速安装，例如阿里云或清华大学镜像源。

安装步骤

方式一：通过 PyPI 安装（推荐普通用户）

直接使用 pip 安装即可，命令会自动将 flarestrings 和 rank_strings 脚本添加到你的 Python 环境中。

pip install stringsifter -i https://pypi.tuna.tsinghua.edu.cn/simple

方式二：源码安装（推荐开发者）

如果你需要开发功能或运行单元测试，请克隆仓库并使用 Poetry 安装依赖：

git clone https://github.com/mandiant/stringsifter.git
cd stringsifter
poetry install --with dev

基本使用

安装完成后，你将获得两个主要命令：

1. flarestrings：类似 GNU strings 工具，用于从二进制文件中提取字符串（针对跨平台一致性进行了优化）。
2. rank_strings：接收字符串列表，利用机器学习模型对其进行相关性排序。

最简单的使用示例

将提取字符串和排序步骤通过管道连接，直接对样本文件进行分析：

flarestrings <my_sample> | rank_strings

• <my_sample>：替换为你要分析的恶意软件样本文件路径。
• 该命令会输出按相关性从高到低排列的字符串列表。

常用参数示例

• 限制输出数量（仅显示前 20 条最相关的字符串）：

  flarestrings <my_sample> | rank_strings -l 20
  

• 显示评分（在输出中包含机器学习给出的相关性分数）：

  flarestrings <my_sample> | rank_strings -s
  

• 自定义最小字符串长度（仅提取并排序长度大于等于 8 的字符串）：

  flarestrings -n 8 <my_sample> | rank_strings
  

进阶场景：结合 FLOSS 使用

如果你需要分析混淆字符串，可以将 StringSifter 与 FireEye Labs Obfuscated Strings Solver (FLOSS) 结合使用：

floss -q <my_sample> | rank_strings

(注意：FLOSS 可能需要独立的 Python 2 环境或使用其 standalone 可执行文件)