导航

yara规则学习

Posted on 2023-04-11 10:48  talenth  阅读(72)  评论(0)  编辑  收藏  举报

一 编译相关

不使用openssl编译 (openssl各种漏洞, 看源码受影响的只是hash模块, 以及签名校验部分的功能)

1 libyara模块去掉预处理器  HASH_MODULE HAVE_LIBCRYPTO

2 库管理器中去掉附加依赖项的 libcrypto.lib

3 去掉项目中的 libyara\modules\hash\hash.c

 

二 规则相关

1 关于base64匹配的3个字符串

"This program cannot" base64

<1> 最传统的 base64("This program cannot")= "VGhpcyBwcm9ncmFtIGNhbm5vdA=="  --> "VGhpcyBwcm9ncmFtIGNhbm5vd"

<2>开头加一个空格 base64(" This program cannot")="IFRoaXMgcHJvZ3JhbSBjYW5ub3Q=" --> "RoaXMgcHJvZ3JhbSBjYW5ub3"

<3>去掉第一个字母 base64("his program cannot")= "aGlzIHByb2dyYW0gY2Fubm90" --> "UaGlzIHByb2dyYW0gY2Fubm90" (这个加的'U'目前不清楚是什么意思)