plyara 2.0.3

安装

plyara需要python 3.6+。

使用pip安装：

pip3 install plyara

用法

在自己的应用程序中使用plyara python库：

>>>importplyara>>>parser=plyara.Plyara()>>>mylist=parser.parse_string('rule MyRule { strings: $a="1" \n condition: false }')>>>>>>importpprint>>>pprint.pprint(mylist)[{'condition_terms':['false'],'raw_condition':'condition: false ','raw_strings':'strings: $a="1" \n ','rule_name':'MyRule','start_line':1,'stop_line':2,'strings':[{'name':'$a','type':'text','value':'1'}]}]>>>

或者，使用命令行中包含的plyara脚本：

$ plyara -h
usage: plyara [-h] [--log] FILE

Parse YARA rules into a dictionary representation.

positional arguments:
  FILE        File containing YARA rules to parse.

optional arguments:
  -h, --help  show this help message and exit
  --log       Enable debug logging to the console.

解析规则时，命令行工具将打印有效的json输出：

$ cat example.yar
rule silent_banker : banker
{
    meta:
        description = "This is just an example"
        thread_level = 3
        in_the_wild = true
    strings:
        $a = {6A 40 68 00 30 00 00 6A 14 8D 91}
        $b = {8D 4D B0 2B C1 83 C0 27 99 6A 4E 59 F7 F9}
        $c = "UVODFRYSIHLNWPEJXQZAKCBGMT"
    condition:
        $a or $b or $c
}

$ plyara example.yar
[
    {
        "condition_terms": [
            "$a",
            "or",
            "$b",
            "or",
            "$c"
        ],
        "metadata": [
            {
                "description": "This is just an example"
            },
            {
                "thread_level": 3
            },
            {
                "in_the_wild": true
            }
        ],
        "raw_condition": "condition:\n        $a or $b or $c\n",
        "raw_meta": "meta:\n        description = \"This is just an example\"\n        thread_level = 3\n        in_the_wild = true\n    ",
        "raw_strings": "strings:\n        $a = {6A 40 68 00 30 00 00 6A 14 8D 91}\n        $b = {8D 4D B0 2B C1 83 C0 27 99 6A 4E 59 F7 F9}\n        $c = \"UVODFRYSIHLNWPEJXQZAKCBGMT\"\n    ",
        "rule_name": "silent_banker",
        "start_line": 1,
        "stop_line": 13,
        "strings": [
            {
                "name": "$a",
                "type": "byte",
                "value": "{6A 40 68 00 30 00 00 6A 14 8D 91}"
            },
            {
                "name": "$b",
                "type": "byte",
                "value": "{8D 4D B0 2B C1 83 C0 27 99 6A 4E 59 F7 F9}"
            },
            {
                "name": "$c",
                "type": "text",
                "value": "UVODFRYSIHLNWPEJXQZAKCBGMT"
            }
        ],
        "tags": [
            "banker"
        ]
    }
]

迁移

如果您使用的是旧版本的plyara，并且希望迁移到此版本， 需要做一些更改。最重要的是，解析器对象 实例化已更改。它是：

# Old style - don't do this!importplyara.interpasinterprules_list=interp.parseString(open('myfile.yar').read())

但现在是：

# New style - do this instead!importplyaraparser=plyara.Plyara()rules_list=parser.parse_string(open('myfile.yar').read())

现有解析的密钥保持不变，添加了新的密钥。

在为多个规则和/或文件重用parser时，请注意 导入现在在所有规则之间共享-如果一个规则具有导入，则 导入将添加到解析器对象中的所有规则。

贡献

• 如果您发现了一个bug，或者希望看到一个新特性，那么拉取请求并 Issues总是受欢迎的。
• 通过提交更改，您同意根据条款发布这些更改 关于LICENSE。
• 虽然不需要为更改编写通过的单元测试，但这是非常重要的 受到鼓励和赞赏。

讨论

• 您可以在irc.freenode.net上加入我们的irc频道plyara