基于 Yara 引擎的二进制文件扫描

最新推荐文章于 2024-05-08 21:53:10 发布

原创

最新推荐文章于 2024-05-08 21:53:10 发布 · 1k 阅读

3 ·

CC 4.0 BY-SA版权

文章标签：

#java #linux #python #编程语言 #c++

本文介绍了开源恶意代码查杀引擎Yara，详细讲解了Yara的安装、命令行扫描二进制文件以及通过C API进行扫描的方法。Yara引擎依赖特征规则库，支持在不同平台上运行，可用于识别和分类恶意软件。

1. 什么是 Yara 引擎?

Yara 是一个开源的恶意代码查杀引擎，用来识别和分类恶意软件样本。Yara 本身不提供杀毒功能，也没有自己的特征库，所以它只是个引擎而已。

Yara 引擎需要特征规则库的支持。特征规则是由一系列字符串和一个布尔型表达式构成的描述来阐述其逻辑，支持与或非等多种条件，以此来识别和分类恶意软件或者程序。

Yara 引擎是跨平台的，可在 Windows、Linux 和 Mac OS X 上运行。

2. Yara 引擎安装

这里我们在 CentOS7.2 上用 yara-3.7.0.tar.gz 做演示。

安装前，请先确保必要的安装包已经安装：

yum install automake libtool make gcc

下面我们用源码安装 Yara 引擎：

tar -zxf yara-3.7.0.tar.gz
cd yara-3.7.0
./bootstrap.sh
./configure
make
make install

安装完后，可以用 make check 检查是否正常安装：

============================================================================
Testsuite summary for yara 3.7.0
============================================================================
# TOTAL: 7
# PASS:  7
# SKIP:  0
# XFAIL: 0
# FAIL:  0
# XPASS: 0