Cadenas recuperadas que la salida normal no mostraba

Una herramienta de cadenas clásica busca secuencias de caracteres legibles tal como están guardadas en el archivo. Si el programa no guarda el texto así —porque lo escribe letra a letra en memoria al correr, o porque lo guarda codificado y lo decodifica justo antes de usarlo—, esa herramienta no lo ve. Ya lo viste en el módulo 3 desde la salida: pocas cadenas útiles y llamadas de red sin destino son una señal, no una conclusión.

Un recuperador de cadenas (el ejemplo de tipo es FLOSS, de código abierto) da un paso más: localiza las rutinas que parecen armar o decodificar texto, simula solo esos trozos de código con los datos que encuentra en el archivo y recoge lo que queda en memoria. No ejecuta la muestra en un equipo, y por eso tiene límites que verás en la última tarea.

La salida recuperada separa las cadenas por cómo se obtuvieron. Las estáticas son las de siempre. Las armadas en la pila el programa las escribe carácter a carácter en una zona de memoria de trabajo. Las apretadas son una variante: se arman y se decodifican en ese mismo tramo de código. Las decodificadas salen de una rutina que la herramienta tomó por decodificadora, y se listan con la dirección de esa rutina y el sitio desde el que se la llamó.

Abre el laboratorio y lee la lista recuperada. Puedes ir directo a los dominios así:

grep example recuperadas-m3418.txt

Aquí se juntan las dos herramientas. La salida de capacidades decía que en una función propia hay operaciones XOR dentro de un bucle; la de cadenas dice que una rutina concreta, cuando se la simula, devuelve un dominio legible. Si las dos señalan la misma dirección, la capacidad «codificar datos con XOR» deja de ser una suposición sobre un bucle y pasa a tener un resultado concreto detrás: lo que esa rutina esconde es, entre otras cosas, el servidor.

Las cadenas armadas en la pila suelen ser cortas y concretas: un nombre de archivo, el formato de un mensaje. No están cifradas; están troceadas para que no se lean de un vistazo. En M-3418 hay dos. Una es el formato con el que el programa compondría los datos que envía. La otra es un nombre de archivo que vale la pena llevar a la sala siguiente, para ver si la corrida del entorno aislado lo creó.

Hay un segundo grupo de decodificadas con una sola cadena, una mezcla de símbolos que no se parece a nada. Sale de una rutina distinta, y esa rutina es la misma función que el detalle de capacidades lleva marcada como biblioteca del compilador. La nota del propio recuperador explica el resto: si simula algo que no era una decodificadora, lo que queda en memoria puede ser basura.

Una cadena recuperada no es evidencia por haber salido de la herramienta. Se cita cuando tiene sentido y se cruza con algo más.