YARA：第十章-模块使用之Hash

        Hash模块允许用户在编写Yara规则时计算文件的哈希（MD5、SHA1、SHA256）并作为条件写入规则。需要注意的是，该模块依赖于OpenSSL库，因此如果想使用此模块功能需提前安装好OpenSSL。

        需要注意的是，Hash模块的计算函数返回的哈希值均为小写形式，因此比较哈希值时需要注意到这一点。示例如下：

// 下面是使用MD5算法计算整个文件的哈希值，并判断文件哈希值是否等于后面的字符串。
// 等号后面的哈希值必须是小写，虽然哈希值中字母大小写不影响哈希值的含义，但是这里会出现匹配失败的问题。
hash.md5(0, filesize) == "feba6c919e3797e7778e8f2e85fa033d"

        下面是Hash模块支持的属性或方法：

名称	类型	描述
hash.md5(offset, size)	方法	此函数用于计算当前待检测文件或者进程指定范围内容的MD5值。当待检测目标为文件时参数offset表示所计算的文件内容据文件开头的偏移值，参数size表示所计算内容的大小。当待检测目标为进程时，参数offset表示进程的虚拟地址，size表示所计算内容大小。 使用示例如下： hash.md5(20, filesize-20) == "feba6c919e3797e7778e8f2e85fa033d"
hash.md5(string)	方法	此函数返回给定字符串的MD5值。 使用示例如下： hash.md5("只道那时是寻常") == "216db1172768b6610c3935269754fd51"
hash.sha1(offset, size)	方法	此函数用于计算当前待检测文件或者进程指定范围内容的SHA1值。当待检测目标为文件时参数offset表示所计算的文件内容据文件开头的偏移值，参数size表示所计算内容的大小。当待检测目标为进程时，参数offset表示进程的虚拟地址，size表示所计算内容大小。
hash.sha1(string)	方法	此函数返回给定字符串的SHA1值。
hash.sha256(offset, size)	方法	此函数用于计算当前待检测文件或者进程指定范围内容的SHA256值。当待检测目标为文件时参数offset表示所计算的文件内容据文件开头的偏移值，参数size表示所计算内容的大小。当待检测目标为进程时，参数offset表示进程的虚拟地址，size表示所计算内容大小。
hash.sha256(string)	方法	此函数返回给定字符串的SHA256值。
hash.checksum32(offset, size)	方法	此函数用于计算当前待检测文件或指定范围内容的Checksum校验和，返回值为32比特长度。
hash.checksum32(string)	方法	此函数返回给定字符串的32位Checksum校验和。
hash.crc32(offset, size)	方法	此函数用于计算当前待检测文件或指定范围内容的CRC32校验和。
hash.crc32(string)	方法	此函数返回给定字符串的CRC32校验和。