YARA：第十一章-模块使用之Math

于 2024-07-16 07:30:00 发布
阅读量783 收藏 16
点赞数 20
分类专栏： YARA 文章标签： 安全威胁分析 全文检索 安全 linux
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_29490749/article/details/140413898
版权

        Math模块允许用户在编写Yara规则时进行数学计算，并将结果作为规则判断的一部分。

        下面是Math模块支持的属性或方法：

名称

类型

描述

math.entropy(offset,size)

方法

返回选定范围内内容的浮点型熵值。当扫描目标为文件时，参数offset表示距文件开头的偏移大小，当扫描目标为正在运行的进程时，参数offset表示为进程内的虚拟地址。参数size表示熵值计算内容的字节数。

使用示例如下：

math.entropy(0, filesize) >= 7

math.entropy(string)

方法

返回指定字符串的熵值。

使用示例：

math.entropy("只道那时是寻常") > 7

math.monte_carlo_pi(offset, size)

方法

此方法对指定文件内容或者进程内存执行蒙特卡洛π测试，估计数据块中随机分布的点与π的接近程度，并计算这个估值与π之间的差异，转换成百分比。此方法返回一个浮点型值。当扫描目标为文件时，参数offset表示距文件开头的偏移大小，当扫描目标为正在运行的进程时，参数offset表示为进程内的虚拟地址。参数size表示熵值计算内容的字节数。

math.monte_carlo_pi(string)

方法

返回指定字符串的蒙特卡洛π测试结果。

math.serial_correlation(offset, size)

方法

此方法对指定文件内容或者进程内存序列进行相关性计算。此方法返回一个0.0到1.0之间的浮点型结果。当扫描目标为文件时，参数offset表示距文件开头的偏移大小，当扫描目标为正在运行的进程时，参数offset表示为进程内的虚拟地址。参数size表示熵值计算内容的字节数。

math.serial_correlation(string)

方法

返回指定字符串的相关性计算结果。

math.mean(offset,size)

方法

此方法对指定文件内容或者进程内存求平均值。此方法返回一个浮点型值。当扫描目标为文件时，参数offset表示距文件开头的偏移大小，当扫描目标为正在运行的进程时，参数offset表示为进程内的虚拟地址。参数size表示熵值计算内容的字节数。

使用示例如下：

math.mean(0, filesize) < 72.0

math.mean(strings)

方法

返回指定字符串的平均值。

math.deviation(offset,size,mean)

方法

此方法对指定文件内容或者进程内存求平均值，并比较所求的的平均值与给入的均值之间的偏差。此方法返回一个浮点型数值。当扫描目标为文件时，参数offset表示距文件开头的偏移大小，当扫描目标为正在运行的进程时，参数offset表示为进程内的虚拟地址。参数size表示熵值计算内容的字节数。参数mean为要比较的均值，一般均匀分布的随机样本的均值为127.5，math模块中常量MEAN_BYTES标识此值，也可以自己传入。

使用示例如下：

math.deviation(0, filesize, math.MEAN_BYTES) == 64.0

math.deviation(string,mean)

方法

返回指定字符串均值与传入的均值之间的偏差。

math.in_range(test,lower,upper)

方法

判断给定数值是否在给定范围内。参数test为给定的测试值。参数lower和upper分别是给定的范围，即最小值和最大值。此方法判定test值是否在lower和upper范围内。返回布尔类型。

使用示例如下：

math.in_range(math.deviation(0, filesize, math.MEAN_BYTES), 63.9, 64,1)

math.max(a, b)

方法

返回两个无符号整形的最大值。

math.min(a, b)

方法

返回两个无符号整形的最小值。

math.to_number(value)

方法

判断value的真假并返回0或者1。

使用示例如下：

math.to_number(SubRule1) * 60 + math.to_number(SubRule2) * 20 + math.to_number(SubRule3) * 70 > 80

math.abs(value)

方法

返回有符号整形的绝对值。

使用示例如下：

 math.abs(@a - @b) == 1

math.count(byte, offset, size)

方法

此方法返回特定字节在指定范围内出现的次数。当扫描目标为文件时，参数offset表示距文件开头的偏移大小，当扫描目标为正在运行的进程时，参数offset表示为进程内的虚拟地址。参数size表示熵值计算内容的字节数。如果offset和size参数没有给定，则默认搜索整个文件。

使用示例如下：

math.count(0x4A) >= 10

math.count(0x00, 0, 4) < 2

math.percentage(byte, offset, size)

方法

此方法返回特定字节在指定范围内出现的比率。此方法返回0到1之间的百分比数值。当扫描目标为文件时，参数offset表示距文件开头的偏移大小，当扫描目标为正在运行的进程时，参数offset表示为进程内的虚拟地址。参数size表示熵值计算内容的字节数。如果offset和size参数没有给定，则默认搜索整个文件。

使用示例如下：

math.percentage(0xFF, filesize-1024, filesize) >= 0.9

math.percentage(0x4A) >= 0.4

math.mode(offset, size)

方法

此方法返回指定范围内出现频率最高的字节。当扫描目标为文件时，参数offset表示距文件开头的偏移大小，当扫描目标为正在运行的进程时，参数offset表示为进程内的虚拟地址。参数size表示熵值计算内容的字节数。如果offset和size参数没有给定，则默认搜索整个文件。

使用示例如下：

math.mode(0, filesize) == 0xFF

math.mode() == 0x00

math.to_string(value)

方法

此方法将给定的有符号整数转换成字符串类型。

使用示例如下：

math.to_string(10) == "10"

 math.to_string(-1) == "-1"

math.to_string(int, base)

方法

将给定有符号整形按照给定进制输出字符串。此函数支持8、10和16进制。

使用示例如下：

math.to_string(32, 16) == "20" 

math.to_string(-1, 16) == "ffffffffffffffff"

_只道当时是寻常
关注
  • 20
    点赞
  • 踩
  • 16
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 0
    评论
专栏目录
YARA：第七章-模块使用之PE
qq_29490749的博客
07-12 690
模块是对Yara检测功能的扩展。一些模块例如PE、Cukoo等模块是Yara正式支持的模块，随Yara正式发布。当然，用户可以根据自己的需求创建自己的模块集成到Yara程序中。Yara支持在规则文件中导入模块对象，这些导入语句一般放在文件的开始部分，使用关键字"import"和模块名。接下来我们就可以使用所导入模块所支持的函数或者变量。
YARA：第八章-模块使用之ELF
qq_29490749的博客
07-13 1110
ELF模块支持解析ELF格式文档，供用户更加灵活的判断ELF类型的文件。
YARA：第九章-模块使用之Magic
qq_29490749的博客
07-14 191
Magic Module支持Yara将待检测文件类型作为判定条件放到规则中。
YARA：第四章-字符串之正则表达式（三）
qq_29490749的博客
07-09 376
正则表达式是Yara最强大的功能之一，用户可以通过编写正则表达式来作为匹配规则。
YARA：第十章-模块使用之Hash
最新发布
qq_29490749的博客
07-15 270
Hash模块允许用户在编写Yara规则时计算文件的哈希（MD5、SHA1、SHA256）并作为条件写入规则。
YARA：第五章-条件块
qq_29490749的博客
07-10 909
Yara中条件块和编程语言中的布尔表达式类似，例如if语句。它可以包含一些常见的布尔运算符，例如"and"、"or"、"not"；关系运算符，例如">="、""、"
YARA：第三章-字符串之文本字符串（二）
qq_29490749的博客
07-08 778
Yara文本字符串规则格式详解。
YARA：第一章-启动参数
qq_29490749的博客
07-05 465
YARA 是一个多功能的恶意软件分析工具，它允许用户创建描述性规则来识别和分类文件，尤其是恶意软件。YARA 的核心是规则引擎，它支持通过文本或二进制模式创建规则，这些规则可以包含字符串和逻辑表达式，提供高度的可定制性。YARA 的规则集可以利用通配符、不区分大小写的字符串、正则表达式等高级功能，使得规则编写更为灵活。只有此参数指定的Tab规则命中时打印输出，其它的忽略。指定Yara规则字符串的最大长度，默认是10000，如果超过则启动时会报错。打印不适用的规则，也就是本次扫描没有命中的规则。
YARA：第二章-字符串之十六进制字符串（一）
qq_29490749的博客
07-07 290
Yara规则很容易编写和理解，它的语法很像C语言。下面是一个简单的YARA规则，且此条规则不检测任何信息。Yara规则的编写始于"rule"关键字，随后是规则的标识符（rule identifier）。这个标识符遵循C语言的命名规则，允许使用字母、数字、下划线，但不允许以数字开头。同时，标识符对大小写敏感，并且其长度不得超过128个字符。和。如果规则不依赖于任何字符串，则可以省略字符串块部分，但条件块总是必需的。字符串块中包含至少一个字符串。每个字符串都有一个。
Yara: Yet Another RSS Aggregator-开源
05-13
Yara，全称为"Yet Another RSS Aggregator"，是一个开源项目，专为处理RSS（Really Simple Syndication） feeds而设计。RSS是一种广泛使用的互联网数据交换格式，它允许用户订阅并获取网站更新，如博客文章、新闻...
clamav-yara:将Clamav病毒数据库定义转换为YARA规则[GOLANG]
05-09
MDB和MSB也可以完成，但是需要找到一种方法来生成适当的YARA规则。 === 如何产生规则 git clone https://github.com/sec51/clamav-yara.git go build go test -v ./clamav-yara 然后，您可以在rules文件夹中找到...
chef-yara:安装 YARA 恶意软件研究工具的 Chef Cookbook
06-12
描述用于安装和配置Chef 食谱，这是一款适用于恶意软件研究人员的模式匹配瑞士刀。用法在run_list包含yara::default配方。 要禁用安装 yara-python 设置以下属性： default[:yara][:install_yara_python] = false...
awesome-yara：精选的YARA出色规则，工具和人员的清单
01-31
【标题】"awesome-yara" 是一个集合了各种优秀YARA规则、工具和专家资源的综合清单，旨在为网络安全专业人士提供强大的支持，特别是在威胁狩猎、恶意软件分析和研究领域。 【描述】这个项目名为"awesome-yara"，是...
eslint-config-yara：Yara Digital Labs JavaScript样式指南
02-04
Yara Digital Labs JavaScript样式指南 用法 我们导出两种ESLint配置供您使用，原始JavaScript和React。 Yara Digital Labs JavaScript样式指南 我们的默认导出包含我们所有的ESLint规则，包括ECMAScript 6+。 它...
强敌环伺：金融业信息安全威胁分析——整体态势
AKAMAI_CHINA的博客
01-29 1081
在Web应用程序和API攻击、零日漏洞以及DDoS攻击等方面，金融服务业一直是最主要的三大被攻击目标垂直行业之一。金融服务业的Web应用程序和API攻击数量同比激增3.5倍，在所有主要行业中增速最快。如何阻止Web应用程序和API攻击利用新发现的零日漏洞针对金融服务业发起的攻击，在24小时内就可以轻松达到每小时数千次的规模，并且会快速达到峰值，这使得防御者几乎没时间打补丁或做出反应。
MongoDB 全文检索
lsx202406的博客
07-09 2196
全文检索是一种信息检索技术，它允许用户通过搜索关键字或短语来查找文档中的文本。与传统的基于关键字的搜索不同，全文检索考虑了文本的上下文，可以更准确地返回相关文档。MongoDB 的全文检索功能是基于文本索引的，它为存储在数据库中的文本字段创建索引，以便快速进行搜索。
DNSSec：网络安全的守护者
jiamisoft的博客
07-12 390
DNSSec是一种安全协议，它为DNS查询和响应过程提供了额外的加密层。通过使用公钥基础设施（PKI）和数字签名，DNSSec能够验证DNS响应的真实性，从而防止DNS欺骗攻击，即攻击者将用户重定向到恶意网站的行为。
医疗健康信息的安全挑战与隐私保护最佳实践
2301_79955948的博客
07-12 1334
随着医疗信息化的发展，医疗健康数据呈现出爆炸式的增长，医院信息系统、电子病历、健康管理等产生了海量的数据，这些数据的管理和保护成为了巨大的挑战。最新的研究和政策动态显示，国家卫生健康委员会等政府部门正在积极推动医疗健康信息安全管理规范的制定和实施，以加强数据安全和个人健康医疗数据相关的隐私保护。隐私保护的最佳实践包括建立完善的数据安全管理制度、规范医疗健康数据的收集、存储和传输过程，防止数据泄露。这些要求和措施有助于确保医疗健康信息的安全性和个人隐私的保护，减少信息泄露的风险，并促进医疗行业的健康发展。
yara-python
09-14
Yara-python是一个Python库，它允许您使用Python程序使用YARA。它提供了从编译、保存和加载规则到扫描文件、字符串和进程的功能。您可以使用此库编写Python代码来执行YARA规则的各种操作。 您可以使用以下步骤来使用yara-python库： 1. 首先，您需要安装yara-python库。您可以在https://github.com/VirusTotal/yara-python找到详细的安装说明。 2. 在您的Python程序中导入yara库： ```python import yara ``` 3. 编译您的YARA规则。您可以使用`yara.compile()`函数来编译规则： ```python rule = yara.compile(source=...) ``` 4. 您可以使用编译后的规则进行各种操作，例如扫描文件、字符串和进程。例如，使用`rule.match()`函数来扫描文件并获取匹配的结果： ```python matches = rule.match(data=...) ``` 5. 您还可以根据需要进行其他操作，例如保存和加载规则等。 此外，您还可以参考提供的示例代码来了解如何使用yara-python库。这个示例代码展示了如何从目录中获取yara规则文件并编译规则，以及如何使用这些规则扫描文件。 希望这些信息对您有所帮助！

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

_只道当时是寻常

打赏不得超过工资的一半呦

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值