Fixed json fields get moved over

CHANGELOG-Japanese.md

@@ -31,6 +31,7 @@
 
 - `metrics`と`logon-summary`コマンドのレコード数の表示が`csv-timeline`のコマンドでのレコード数の表示と異なっている状態を修正した。 (#1105) (@hitenkoku)
 - パスの代わりにルールIDでルール数を数えるように変更した。 (#1113) (@hitenkoku)
+- JSON出力で`CommandLine`フィールド内で誤ったフィールドの分割が行われてしまう問題を修正した。 (#1145) (@hitenkoku)
 - `json-timeline`コマンドで`--timeline-start`と`--timeline-end`オプションが動作しなかったのを修正した。 (#1148) (@hitenkoku)
 - `pivot-keywords-list`コマンドで`--timeline-start`と`--timeline-end`オプションが動作しなかったのを修正した。 (#1150) (@hitenkoku)
 

CHANGELOG.md

@@ -30,6 +30,7 @@
 
 - The total number of records being displayed in the `metrics` and `logon-summary` commands differed from the `csv-timeline` command. (#1105) (@hitenkoku)
 - Changed rule count by rule ID instead of path. (#1113) (@hitenkoku)
+- Fixed a problem with incorrect field splitting in the `CommandLine` field in JSON output. (#1145) (@hitenkoku)
 - `--timeline-start` and `--timeline-end` were not working correctly with the `json-timeline` command. (#1148) (@hitenkoku)
 - `--timeline-start` and `--timeline-end` were not working correctly with the `pivot-keywords-list` command. (#1150) (@hitenkoku)
 

src/afterfact.rs

@@ -1462,7 +1462,11 @@ pub fn output_json_str(
                         let mut tmp_stock = vec![];
                         let mut space_split_contents = detail_contents.split(' ');
                         while let Some(sp) = space_split_contents.next() {
-                            if !sp.contains('\\') && sp.ends_with(':') && sp.len() > 2 {
+                            if !sp.contains('\\')
+                                && !sp.starts_with('-')
+                                && sp.ends_with(':')
+                                && sp.len() > 2
+                            {
                                 key_index_stock.push(sp.replace(':', ""));
                                 if sp == "Payload:" {
                                     stocked_value.push(vec![]);
@@ -1474,6 +1478,18 @@ pub fn output_json_str(
                                     stocked_value.push(tmp_stock);
                                     tmp_stock = vec![];
                                 }
+                            } else if char::from_str(&sp.chars().next().unwrap_or('a').to_string())
+                                .unwrap_or_default()
+                                .is_lowercase()
+                                && sp.ends_with(';')
+                                && sp.len() < 5
+                                && key_index_stock.len() > 1
+                            {
+                                let last_key = key_index_stock.pop().unwrap_or_default();
+                                let mut last_stocked_value =
+                                    stocked_value.pop().unwrap_or_default();
+                                last_stocked_value.push(format!("{last_key}: {sp}"));
+                                stocked_value.push(last_stocked_value);
                             } else {
                                 tmp_stock.push(sp.to_owned());
                             }
@@ -1513,7 +1529,13 @@ pub fn output_json_str(
                             key_index_stock[key_idx].as_str()
                         };
                         if !output_value_stock.is_empty() {
-                            output_value_stock.push_str(" | ");
+                            let separate_chr =
+                                if key_index_stock[key_idx].starts_with("ScriptBlock") {
+                                    " | "
+                                } else {
+                                    ": "
+                                };
+                            output_value_stock.push_str(separate_chr);
                         }
                         output_value_stock.push_str(&value.join(" "));
                         //1つまえのキーの段階で以降にvalueの配列で区切りとなる空の配列が存在しているかを確認する
@@ -1525,7 +1547,8 @@ pub fn output_json_str(
                                 .iter()
                                 .any(|remain_value| remain_value.is_empty());
                         if (value_idx < stocked_value.len() - 1
-                            && stocked_value[value_idx + 1].is_empty())
+                            && stocked_value[value_idx + 1].is_empty()
+                            && key_idx != key_index_stock.len() - 1)
                             || is_remain_split_stock
                         {
                             // 次の要素を確認して、存在しないもしくは、キーが入っているとなった場合現在ストックしている内容が出力していいことが確定するので出力処理を行う