ald3ns/copy-as-yaraयह एक छोटा प्लगइन है जो डिसअसेंबली को इस तरह कॉपी करता है कि इसे YARA नियमों में उपयोग किया जा सके!
लेखक: alden
डिसअसेम्बली को YARA नियमों के लिए सुव्यवस्थित रूप से कॉपी करें।
यह एक बहुत ही सरल प्लगइन है जो आपको डिसअसेम्बली को इस तरह कॉपी करने की सुविधा देता है जिससे उसे YARA नियमों में उपयोग किया जा सके। आपके पास या तो असेंबली कोड को ज्यों का त्यों कॉपी करने का विकल्प है या अधिक मजबूत नियम बनाने के लिए एड्रेस वाइल्डकार्डिंग का उपयोग करने का विकल्प है।
अपनी इच्छित डिसअसेम्बली को कॉपी करने के लिए, उसे किसी भी व्यू में चुनें। इसके बाद, प्लगइन्स > YARA के लिए कॉपी करें > [विकल्प] पर जाएँ। परिणामी स्वरूपित टेक्स्ट आपके क्लिपबोर्ड पर स्वतः कॉपी हो जाएगा।
यह प्रारूप संभावित एड्रेस टोकन को वाइल्डकार्ड करने का प्रयास करता है ताकि नियम अधिक मजबूत बन सकें। इसे पूरा करने के लिए यह दो रणनीतियों का उपयोग करता है:
x86
49 8b 5e 08 // mov rbx, qword [r14+0x8]
48 8d bd 48 ff ff ff // lea rdi, [rbp-0xb8 {var_c0}]
4c 89 fe // mov rsi, r15
4c 89 f2 // mov rdx, r14
e8 ?? ?? ?? ?? // call sub_1000ca056
ARM
f7 03 01 aa // mov x23, x1
e0 03 01 aa // mov x0, x1
ca ?? ?? ?? // bl sub_100128728
f9 03 00 aa // mov x25, x0
f8 03 01 aa // mov x24, x1
9a ?? ?? ?? // bl sub_1001bd674
f9 03 00 36 // tbz w25, #0, 0x10012788c
यह केवल असेंबली के बाइट्स को बिना किसी टिप्पणी के संक्षिप्त तरीके से कॉपी करता है, यदि आपको वह पसंद है।
49 8b 5e 08 48 8d bd 48 ff ff ff 4c 89 fe 4c 89 f2 e8 ff 0c 00 00
सभी बाइट्स को टिप्पणियों के साथ कॉपी करता है लेकिन बिना वाइल्डकार्डिंग के।
49 8b 5e 08 // mov rbx, qword [r14+0x8]
48 8d bd 48 ff ff ff // lea rdi, [rbp-0xb8 {var_c0}]
4c 89 fe // mov rsi, r15
4c 89 f2 // mov rdx, r14
e8 ff 0c 00 00 // call sub_1000ca056
यह एक त्वरित पूर्ण नियम उत्पन्न करेगा जिसे आप उपयोग कर सकते हैं, भविष्य में मेटाडेटा को सेटिंग्स के साथ अनुकूलन योग्य बनाया जाएगा।
rule binary_ninja_export {
meta:
description = "Auto generated by Binary Ninja YARA plugin"
architecture = "aarch64"
strings:
$bytes = { f7 03 01 aa e0 03 01 aa ca ?? ?? ?? f9 03 00 aa f8 03 01 aa 9a ?? ?? ?? f9 03 00 36 }
condition:
$bytes
}
यह प्लगइन MIT लाइसेंस के अंतर्गत जारी किया गया है।