Hash模块允许用户在编写Yara规则时计算文件的哈希(MD5、SHA1、SHA256)并作为条件写入规则。需要注意的是,该模块依赖于OpenSSL库,因此如果想使用此模块功能需提前安装好OpenSSL。
需要注意的是,Hash模块的计算函数返回的哈希值均为小写形式,因此比较哈希值时需要注意到这一点。示例如下:
// 下面是使用MD5算法计算整个文件的哈希值,并判断文件哈希值是否等于后面的字符串。
// 等号后面的哈希值必须是小写,虽然哈希值中字母大小写不影响哈希值的含义,但是这里会出现匹配失败的问题。
hash.md5(0, filesize) == "feba6c919e3797e7778e8f2e85fa033d"
下面是Hash模块支持的属性或方法:
名称 | 类型 | 描述 |
hash.md5(offset, size) | 方法 | 此函数用于计算当前待检测文件或者进程指定范围内容的MD5值。当待检测目标为文件时参数offset表示所计算的文件内容据文件开头的偏移值,参数size表示所计算内容的大小。当待检测目标为进程时,参数offset表示进程的虚拟地址,size表示所计算内容大小。 使用示例如下: hash.md5(20, filesize-20) == "feba6c919e3797e7778e8f2e85fa033d" |
hash.md5(string) | 方法 | 此函数返回给定字符串的MD5值。 使用示例如下: hash.md5("只道那时是寻常") == "216db1172768b6610c3935269754fd51" |
hash.sha1(offset, size) | 方法 | 此函数用于计算当前待检测文件或者进程指定范围内容的SHA1值。当待检测目标为文件时参数offset表示所计算的文件内容据文件开头的偏移值,参数size表示所计算内容的大小。当待检测目标为进程时,参数offset表示进程的虚拟地址,size表示所计算内容大小。 |
hash.sha1(string) | 方法 | 此函数返回给定字符串的SHA1值。 |
hash.sha256(offset, size) | 方法 | 此函数用于计算当前待检测文件或者进程指定范围内容的SHA256值。当待检测目标为文件时参数offset表示所计算的文件内容据文件开头的偏移值,参数size表示所计算内容的大小。当待检测目标为进程时,参数offset表示进程的虚拟地址,size表示所计算内容大小。 |
hash.sha256(string) | 方法 | 此函数返回给定字符串的SHA256值。 |
hash.checksum32(offset, size) | 方法 | 此函数用于计算当前待检测文件或指定范围内容的Checksum校验和,返回值为32比特长度。 |
hash.checksum32(string) | 方法 | 此函数返回给定字符串的32位Checksum校验和。 |
hash.crc32(offset, size) | 方法 | 此函数用于计算当前待检测文件或指定范围内容的CRC32校验和。 |
hash.crc32(string) | 方法 | 此函数返回给定字符串的CRC32校验和。 |