Fixed json fields get moved over

CHANGELOG-Japanese.md

@@ -29,6 +29,7 @@
 
 - `metrics`と`logon-summary`コマンドのレコード数の表示が`csv-timeline`のコマンドでのレコード数の表示と異なっている状態を修正した。 (#1105) (@hitenkoku)
 - パスの代わりにルールIDでルール数を数えるように変更した。 (#1113) (@hitenkoku)
+- JSON出力で`CommandLine`フィールド内で誤ったフィールドの分割が行われてしまう問題を修正した。 (#1145) (@hitenkoku)
 
 **その他:**
 

CHANGELOG.md

@@ -28,6 +28,7 @@
 
 - The total number of records being displayed in the `metrics` and `logon-summary` commands differed from the `csv-timeline` command. (#1105) (@hitenkoku)
 - Changed rule count by rule ID instead of path. (#1113) (@hitenkoku)
+- Fixed a problem with incorrect field splitting in the `CommandLine` field in JSON output. (#1145) (@hitenkoku)
 
 **Other:**
 

src/afterfact.rs

@@ -1462,7 +1462,11 @@ pub fn output_json_str(
                         let mut tmp_stock = vec![];
                         let mut space_split_contents = detail_contents.split(' ');
                         while let Some(sp) = space_split_contents.next() {
-                            if !sp.contains('\\') && sp.ends_with(':') && sp.len() > 2 {
+                            if !sp.contains('\\')
+                                && !sp.starts_with('-')
+                                && sp.ends_with(':')
+                                && sp.len() > 2
+                            {
                                 key_index_stock.push(sp.replace(':', ""));
                                 if sp == "Payload:" {
                                     stocked_value.push(vec![]);
@@ -1474,6 +1478,12 @@ pub fn output_json_str(
                                     stocked_value.push(tmp_stock);
                                     tmp_stock = vec![];
                                 }
+                            } else if sp.ends_with(';') && sp.len() < 5 {
+                                let last_key = key_index_stock.pop().unwrap_or_default();
+                                let mut last_stocked_value =
+                                    stocked_value.pop().unwrap_or_default();
+                                last_stocked_value.push(format!("{last_key}: {sp}"));
+                                stocked_value.push(last_stocked_value);
                             } else {
                                 tmp_stock.push(sp.to_owned());
                             }
@@ -1513,7 +1523,13 @@ pub fn output_json_str(
                             key_index_stock[key_idx].as_str()
                         };
                         if !output_value_stock.is_empty() {
-                            output_value_stock.push_str(" | ");
+                            let separate_chr =
+                                if key_index_stock[key_idx].starts_with("ScriptBlock") {
+                                    " | "
+                                } else {
+                                    ": "
+                                };
+                            output_value_stock.push_str(separate_chr);
                         }
                         output_value_stock.push_str(&value.join(" "));
                         //1つまえのキーの段階で以降にvalueの配列で区切りとなる空の配列が存在しているかを確認する