YARA语法

YARA 是一个强大的工具，用于帮助研究人员识别和分类恶意软件样本。本文记录了学习 YARA 规则过程中的关键要点和常用写法，适合作为查阅手册使用。

yara规则的编写

yara是一款旨在帮助恶意软件研究人员识别和分类恶意软件样本的开源工具，yara规则基于字符串或者二进制模式信息创建恶意软件家族描述信息，yara的每一条描述和规则都是通过一系列字符串和一个布尔表达式构成，并阐述其逻辑。yara规则可以提交给文件或者在运行进程，以帮助研究人员识别其是否属于某个已知运行规则描述的恶意软件家族。     下面是一个yara规则简单的例子：

原文链接：https://yara.readthedocs.io/en/v3.7.0/writingrules.html 一个简单的yara规则示范： rule ExampleRule { strings: $my_text_string = "text here" $my_hex_string = { E2 34 A1 C8 23 FB } ...

正则表达式是Yara最强大的功能之一，用户可以通过编写正则表达式来作为匹配规则。

yara安装与使用环境及安装工具使用yara规则编写strings部分转义大小写字符集表示匹配单个词组文本字符串condition部分infilesizeatentrypointint8/16/32、uint8/16/32of??？[X-Y]them/($*)@!for xxx of xxx ：(xxx)for xxx i in (xxx) ：(xxx)其他yara关键字globalprivateTagRule引用规则importinclude注释mate外部变量 环境及安装 操作系统：win10 安装地址

编写简单高效的yara规则（1） 翻译自：https://www.bsk-consulting.de/2015/02/16/write-simple-sound-yara-rules/ 在过去的两年里，我根据IOC抓取到的样本，编写了约2000条Yara规则。 许多安全专家发现，Yara提供了一种简单有效的方法，可以根据样本中的字符串或字节序列编写自定义规则，这使得广大用户可以创建属于自己

yara源码分析

Yara规则与C语言语法十分相像, 以下是一个简单的规则, 这个规则没有进行任何操作: 1 2 3 4 5 rule HelloRule { condition: false } 规则标识符 规则标识符是上面简单规则示例中跟在rule后的词, 比如单词"dummy"也可以是一个规则标识符, 标识符命名有如下要求: 是由英文字母或数字组成的字符串 可以使用下划线字符 第一个字符不能是数字 对大

Yara文本字符串规则格式详解。

YARA 是一个免费开源工具，旨在帮助安全人员检测和分类恶意软件，但它不应仅限于这一种用途。YARA规则还可以帮助检测特定文件或您可能想要检测的任何内容。目前使用YARA 的知名软件有赛门铁克、火眼、卡巴斯基、VirusTotal、安天等。