yara rule사용법(1)

rule test

{

condition:

false

}

해당 코드는 가장 기본적인 yara rule이다.

각 룰은 'rule'로 구별 되며, test의 위치에 식별자가 들어가게 된다.

위 표는 yara rule의 키워드들이다. 키워드는 식별자로 사용할 수 없음을 유의하자.

rule sample

{

meta:

author = "dukup11ch1"

type = "test"

filetype= "Win32 EXE"

version = "1.0"

date = "2018-09-11"

SHA256 = 18543929355CD9239E3CD4A6A17544716CDC66ADF18C185CE2A6DED7558D3653

strings:

$a1="test"

$a2={12 34 56}

condition:

$a1 or $a2

}

이제 yara rule의 구조를 알아 보자.

크게 3부분으로 나눌 수 있다. meta부분은 주석이나 마찬가지이다. 다른사람들에게 자신이 짠 yara rule의 정보를 전달하기위해 존재한다.

strings 부분은 상수를 저장한다고 생각 하면 된다.

condition에서는 조건의 참거짓을 판별한다.

지금까지가 기본적인 yara rule의 구조이다. 다음 것 부터 상세하게 알아보자