Base64でエンコードされたコンテンツ内のコンテンツを識別し、行全体を置き換えます。

Question 1

あなたが欲しいとしましょう：

-encodedcommand（大文字と小文字を区別しない）Base64でエンコードされたデータの後にスペースがある項目を探します。
複数行の UTF16-LE エンコード文字列とみなされるものとしてデコードします。
UTF16-LEをデコードして実際のテキストを取得します。
パターン（大文字と小文字を区別しない）に一致するデコードされたテキストの行を新しい行に置き換えます。
結果を再びUTF16-LEにエンコードします。
そしてbase64を返します。

これにより、次のことができます。

your-cmd | perl -MMIME::Base64 -MEncode -pe '
  s{\s-encodedcommand\s+\K\S+}{
    encode_base64(
      encode(
        "UTF16LE",
        decode(
          "UTF16LE",
          decode_base64($&)
        ) =~ s/^.*bad content.*$/new better content/mgir
      ), ""
    )
  }gie'

はい。そしてyour-cmd：

echo 'CmdLine: ... -EncodedCommand MQANAAoAMgANAAoAMwANAAoANAANAAoA'

MQANAAoAMgANAAoAMwANAAoANAANAAoA出力はUTF16-LEエンコードでbase64にエンコードされますseq -f $'%g\r' 4。

これをMSDOS行区切り文字を使用してs/^3\r$/new\r/mgir1に置き換えると、次のようになります。3new

CmdLine: ... -EncodedCommand MQANAAoAMgANAAoAbgBlAHcADQAKADQADQAKAA==

どこ：

echo MQANAAoAMgANAAoAbgBlAHcADQAKADQADQAKAA== |
  base64 -d |
  hexdump -C

以下を提供します。

00000000  31 00 0d 00 0a 00 32 00  0d 00 0a 00 6e 00 65 00  |1.....2.....n.e.|
00000010  77 00 0d 00 0a 00 34 00  0d 00 0a 00              |w.....4.....|
0000001c

Microsoftのバージョンを識別できる場所

1
2
new
4

明示的に要求されたようにエンコードされたテキストから文字列のみを検出し、文字列がある場合は行全体をデコードされたコンテンツ（おそらくUTF-8でエンコードされている）に置き換えたい場合

your-cmd | perl -MMIME::Base64 -MEncode -pe '
  if (/^\s*cmdline:.*\s-encodedcommand\s+(\S+)/i) {
    $text = decode("UTF16LE", decode_base64($1));
    if ($text =~ /encoded as/) {
      $_ = encode("UTF-8", "$text\n");
      # or "$text\r\n" if meant to be DOS-style or:
      # $_ = "Encoded payload found\n";
    }
  }'

（1行に1つしかないと仮定します-encodedcommand。多くの場合、最後の項目のみが考慮されます。最初の項目を考慮するにはに.*置き換えます.*?。）

サンプルでは、以下を提供します。

    field1: value1
    field2: value2
    ...
<insert powershell
multiline
script
here - it'll be encoded as utf16le
and then encoded in base64>
    ...
    fieldn: valuen

^{1デフォルトでは、Perlは入力をISO8859-1（latin1とも呼ばれる）エンコードとして扱います。扱っている部分はASCIIなので違いはなく、少なくともlatin1ではデコードの問題は発生しません。 UTF-8の場合は、その-Cオプションを追加しperlてそのencode("UTF-8"...)部分をスキップできます。}

^{バイト順の表示はUTF-8の一部ではありませんが、時にはMicrosoftファイルにあります。この場合、CmdLine最初の行にある場合、/^\s*cmdline.../i先頭にU + FEFF BOM文字があるため、正規表現は一致しません。その後、行の先頭にオプションのU + FEFF文字を受け入れる-Cように正規表現を渡して変更できます。/^\x{feff}?\s*cmdline.../i}

Answer