Editado: no importa el MinGW o .bash_history, puedo ver que es poco probable. Sin embargo, no es tan improbable que alguien me ataque y que esos bytes terminen en el archivo .bash_history usado por accidente. ¿Hay algo legítimo que se vería así? Lo único que podría pensar aparte de un trineo NOP con canarios serían partes de una imagen, pero el fragmento no se parece en nada a un editor de imágenes. También parece poco probable que alguien pinte una imagen con un gris # 909090
Hago programación pero nada relacionado con la seguridad, y no ejecuto ningún servidor en mi computadora. Estoy pensando que la .bash_history podría haber sido corrompida por el sistema cuando tuve que hacer un CHKDSK / F hace unos días. Pero el solo hecho de haber tenido esos bytes con aspecto de explotación en cualquier parte de mi computadora me pone nervioso.
Uso MinGW para compilar cosas de Unixy en Windows y para tener disponibles los comandos de shell de Unixy. A menudo grep .bash_history para recordar qué parámetros para varios comandos que he usado anteriormente. (No preguntes por qué no uso las funciones bash integradas para esto, solo un hábito)
Recientemente encontré en mi ~ / .bash_history una larga serie de bytes binarios que consiste principalmente en 0x90 - NOP. En esto hay ejecuciones más cortas de otros bytes binarios que se ensamblan en instrucciones mayormente válidas.
Una ejecución recurrente es 82 20 f8 7d 2c 61 0a de 90 90 90 [luego 90 ... repetida]
El desensamblador en línea dice
82 (bad)
20f8 and al,bh
7d2c jge $+2c
61 (bad)
0ade or bl,dh
90 nop
90 nop
90 nop
90 nop
90 nop
90... nop... repeated
¿Podría ser esto parte de un ataque de saturación de búfer, con el sled NOP? No sé mucho acerca de este tipo de cosas, y no puedo ver cómo estas instrucciones particulares podrían hacer nada o cómo serían ejecutadas. Pero tampoco puedo ver cómo terminaron en mi .bash_history o qué otra cosa produciría datos como este. Tengo razones para creer que solo una parte de los datos fueron "capturados" por .bash_history, por lo que podría haberse omitido un código malicioso más obvio y solo quedaba el potencial sled NOP.
Se repiten una y otra vez con ~ 850 NOP en el medio.
¿Qué piensan ustedes? Si este no es el foro adecuado, ¿tiene alguna sugerencia sobre dónde debería estar publicando?