YARA规则摘要_yara uint16(0)

原文链接：https://yara.readthedocs.io/en/v3.7.0/writingrules.html

一个简单的yara规则示范：

rule ExampleRule
{
    strings:
        $my_text_string = "text here"
        $my_hex_string = { E2 34 A1 C8 23 FB }

    condition:
        $my_text_string or $my_hex_string
}
1
2
3
4
5
6
7
8
9

yara规则由rule引导，后跟一个类似C语言变量格式的字符串作为规则名称，长度不能超过128字节。花括号定义规则内容。

规则中用户定义的字符串变量由$字符引导,变量由字母、数字或下划线组成，不能是保留的关键字。

yara规则中的关键字：

字符串变量可以是由双引号""界定的文本内容,也可以是花括号{}界定的十六进制字符串。

注释

类似于C语言，支持行注释//和块注释/**/

字符串

十六进制字符串

• 占位符?
  示例：{ E2 34 ?? C8 A? FB }，?代表任意值的半字节内容。

• 范围[x-y]（0<=x<=y)
  示例：{ F4 23 [4-6] 62 B4 [6] EA BB [10-] FF [-]}。
  [4-6]代表任意4-6个字节；
  [6]是[6-6]的简写形式，代表6个字节；
  [10-]代表10个字节及以上；
  [-]代表任意多个字节。

• 多选|
  示例：{ F4 23 ( 62 B4 | 56 | 45 ?? 67 ) 45 }。
  圆括号内使用|字符分隔的内容匹配任意一个即可。

文本字符串

双引号界定的文本内容："foobar"。
转义字符：

字符串修饰

• nocase
  查找时需要忽略大小写：$text_string = "foobar" nocase。
• ascii
  默认定义的字符串为ascii格式，可以省略。
• wide
  定义宽字符：$wide_string = "Borland" wide。仅通过在ascii字符之间插入0字节实现，不支持非ascii字符。
  同时定义宽字符和ascii字符：$wide_and_ascii_string = "Borland" wide ascii。
• fullword
  全字搜索：$text_string = "foobar" fullword。搜索时确保字符串的前后字节不是字母。

正则表达式

元字符：

量词：

默认使用贪婪模式匹配，在量词后面追加?字符切换为非贪婪模式。

其它转义字符：

字符类：

条件

类似于编程语言的布尔表达式，支持逻辑运算符：and,or,not，关系运算符：>=,<=,<,>,==,~=，算术运算符：+,-,*,\,%，位运算符：&,|,<<,>>,~,^。条件中出现的数字默认为十进制，如果要使用十六进制需要加上前导内容0x。

字符串变量可以直接作为布尔值使用，存在匹配时为true，否则为false。
示例：

rule Example
{
    strings:
        $a = "text1"
        $b = "text2"
        $c = "text3"
        $d = "text4"

    condition:
        ($a or $b) and ($c or $d)
}
1
2
3
4
5
6
7
8
9
10
11

匹配次数

字符串变量的前导字符$替换成#，代表该字符串在目标（文件或进程）出现的次数，可以直接在条件表达式中使用。

rule CountExample
{
    strings:
        $a = "dummy1"
        $b = "dummy2"

    condition:
        #a == 6 and #b > 10
}
1
2
3
4
5
6
7
8
9

匹配文件偏移或虚拟地址

使用at指定字符串在指定位置进行匹配。

rule AtExample
{
    strings:
        $a = "dummy1"
        $b = "dummy2"

    condition:
        $a at 100 and $b at 200
        //或在指定的范围内匹配
        //$a in (0..100) and $b in (100..filesize)
}
1
2
3
4
5
6
7
8
9
10
11

@a[i]：获取第i个匹配的偏移或地址。i从1开始计数。如果i超出范围则返回一个空值。
!a[i]：获取第i个匹配结果的长度。i从1开始计数。!a代表第一个匹配结果的长度。

File size

filesize代表目标文件的长度字节，如果目标是进程则该变量无意义。

rule FileSizeExample
{
    condition:
       filesize > 200KB
}
1
2
3
4
5

KB前面的数字只能是十进制，还支持MB。(GB是否支持文档没说）

取值

int8(<offset or virtual address>)
int16(<offset or virtual address>)
int32(<offset or virtual address>)
uint8(<offset or virtual address>)
uint16(<offset or virtual address>)
uint32(<offset or virtual address>)
int8be(<offset or virtual address>)
int16be(<offset or virtual address>)
int32be(<offset or virtual address>)
uint8be(<offset or virtual address>)
uint16be(<offset or virtual address>)
uint32be(<offset or virtual address>)
1
2
3
4
5
6
7
8
9
10
11
12

u开头的读取无符号整数，be结尾的按big-endian字节序读取。
示例：

rule IsPE
{
  condition:
     // MZ signature at offset 0 and ...
     uint16(0) == 0x5A4D and
     // ... PE signature at offset stored in MZ header at 0x3C
     uint32(uint32(0x3C)) == 0x00004550
}
1
2
3
4
5
6
7
8

字符串集合

使用of关键字检查任意或多个字符串的匹配。示例：

rule OfExample1
{
    strings:
        $foo1 = "dummy1"
        $foo2 = "dummy2"
        $bar1 = "dummy3"
        $bar2 = "dummy4"

    condition:
        2 of ($foo1,$foo2,$bar1,$bar2) //至少有两个匹配
        //或使用以下形式匹配规则内字符串变量
        //2 of($foo*,$bar*)
        //或使用$*匹配规则内所有字符串变量（$*与them相同）
        //2 of ($*)
        //2 of them
        //of前面的数字可以使用以下关键字：
        //any of them //匹配任意一个
        //all of them //匹配所有
        //all of ($foo*)
}
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20

多个字符串应用同一个条件

语法：for expression of string_set : ( boolean_expression )
示例：

any of ($a,$b,$c)
for any of ($a,$b,$c) : ( $ )
for all of them : ( # > 3 )
for all of ($a*) : ( @ > @b )
1
2
3
4

圆括号中的占位符功能：
$代表正在评估的字符串；
#代表正在评估的字符串出现的次数；
@代表正在评估的字符串第一个匹配所在的偏移或虚拟地址。

使用匿名变量

rule AnonymousStrings
{
    strings:
        $ = "dummy1"
        $ = "dummy2"

    condition:
        1 of them
}
1
2
3
4
5
6
7
8
9

匹配结果遍历

语法：for expression identifier in indexes : ( boolean_expression )
示例：

rule Occurrences
{
    strings:
        $a = "dummy1"
        $b = "dummy2"

    condition:
        for all i in (1,2,3) : ( @a[i] + 10 == @b[i] )
        //也可写为
        //for all i in (1..3) : ( @a[i] + 10 == @b[i] )
        //可使用变量代替循环范围
        //for all i in (1..#a) : ( @a[i] < 100 )
}
1
2
3
4
5
6
7
8
9
10
11
12
13

引用其它规则

示例：

rule Rule1
{
    strings:
        $a = "dummy1"

    condition:
        $a
}

rule Rule2
{
    strings:
        $a = "dummy2"

    condition:
        $a and Rule1
}
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17

规则设置

全局规则

全局规则在所有其它规则之前评估，如果结果为false则不会再评估其它规则。允许存在多个全局规则。
示例：

global rule SizeLimit
{
    condition:
        filesize < 2MB
}
1
2
3
4
5

私有规则

私有规则不会像全局规则一样对结果产生影响，评估后也不会提交给yara，但可以与其它规则混合使用。
示例：

private rule PrivateRuleExample
{
    ...
}
1
2
3
4

可以对一个规则同时定义全局和私有属性，评估后不会提交给yara，但必须满足条件。

规则标签

规则后面添加标签，用于过滤输出。在命令行使用时通过-t <tag>或--tag=<tag>选项指定需要输出的标签。一个规则允许有多个标签，使用空格隔开。标签的名称格式与变量相同。
示例：

rule TagsExample1 : Foo Bar Baz
{
    ...
}

rule TagsExample2 : Bar
{
    ...
}
1
2
3
4
5
6
7
8
9

元数据

仅用于存储规则的附加信息，不能在条件中使用，支持文本、整数和布尔值字符串（true/false）。
示例：

rule MetadataExample
{
    meta:
        my_identifier_1 = "Some string data"
        my_identifier_2 = 24
        my_identifier_3 = true

    strings:
        $my_text_string = "text here"
        $my_hex_string = { E2 34 A1 C8 23 FB }

    condition:
        $my_text_string or $my_hex_string
}
1
2
3
4
5
6
7
8
9
10
11
12
13
14

使用模块

必须在规则外部导入模块：

import "pe"
import "cuckoo"
1
2

使用<module name>.引用模块变量：

pe.entry_point == 0x1000
cuckoo.http_request(/someregexp/)
1
2

未定义的值

yara确保模块中未定义的变量在使用时结果永远为undefined。pe.entry_point指向PE文件的入口地址，但是在扫描一个非PE文件时，该变量是没有值的。示例：

import "pe"

rule Test
{
  strings:
      $a = "some string"

  condition:
      $a and pe.entry_point == 0x1000
}
1
2
3
4
5
6
7
8
9
10

该规则匹配结果始终为undefined。但是如果将条件改为$a or pe.entry_point == 0x1000，且目标不是PE文件，则以$a的结果为准。

扩展变量

扩展变量由外部定义，可以在条件中直接使用。
示例1：

rule ExternalVariableExample1
{
    condition:
       ext_var == 10
}
1
2
3
4
5

示例2：

rule ExternalVariableExample3
{
    condition:
        string_ext_var contains "text"
}

rule ExternalVariableExample4
{
    condition:
        string_ext_var matches /[a-z]+/is
}
1
2
3
4
5
6
7
8
9
10
11

正则表达式末尾追加i表示忽略大小写，追加s表示只在同一行进行匹配。

外部变量必须在运行时定义。yara-python中的compile和match函数的externals参数可以指定外部变量。外部变量的值支持文本、整数和布尔值。在命令行可以通过-d选项定义。

包含文件

使用include关键字包含其它规则文件。在Linux系统中允许使用相对路径或绝对路径，在windows中必须使用绝对路径。
Linux系统示例：

include "./includes/other.yar"
include "../includes/other.yar"
include "/home/plusvic/yara/includes/other.yar"
1
2
3

Windows系统示例：

include "c:/yara/includes/other.yar"
include "c:\\yara\\includes\\other.yar"
1
2