oalabs/findyara-idaYara 규칙으로 바이너리를 스캔하는 IDA 파이썬 플러그인
이 IDA Python 플러그인을 사용하여 yara 규칙으로 바이너리를 스캔하세요. 모든 yara 규칙 일치 항목은 오프셋과 함께 나열되므로 빠르게 이동할 수 있습니다!
🍻 이 플러그인과 코드의 모든 공로는 David Berard(@p0ly)에게 있습니다 🍻
이 플러그인은 David의 훌륭한 findcrypt-yara 플러그인을 복사한 것입니다. 이 플러그인은 그의 것을 확장하여 모든 yara 규칙을 사용할 수 있도록 합니다.
플러그인은 메뉴에서 Edit->Plugins->FindYara를 통해 실행하거나 단축키 Ctrl-Alt-Y를 사용하여 실행할 수 있습니다. 실행되면 FindYara는 파일 선택 대화상자를 열어 Yara 규칙 파일을 선택할 수 있게 합니다. 규칙 파일이 선택되면 FindYara는 로드된 바이너리에서 규칙 일치 항목을 스캔합니다.
모든 규칙 일치 항목은 선택 상자에 표시되며, 일치 항목을 더블 클릭하면 바이너리 내 해당 위치로 이동할 수 있습니다.
FindYara는 IDA에 로드된 PE 섹션을 스캔합니다. 즉, PE 헤더에 대한 일치 항목을 포함하는 yara 규칙은 IDA에서 일치하지 않습니다. IDA는 PE 헤더를 스캔 가능한 섹션으로 로드하지 않습니다. 또한 IDA에 바이너리를 로드할 때 Load resources를 선택하지 않은 경우 리소스 섹션도 스캔할 수 없습니다.
이로 인해 yara 규칙이 IDA 외부에서는 일치하지만 FindYara를 사용할 때는 일치하지 않는 불편한 상황이 발생할 수 있습니다. 이러한 경우 PE 헤더 및 리소스 섹션에 대한 일치 항목을 제거하도록 yara 규칙을 편집해 보세요.
플러그인을 사용하기 전에 IDA 환경에 Python Yara 모듈을 설치해야 합니다. 가장 간단한 방법은 IDA 외부의 셸에서 pip를 사용하는 것입니다.
pip install yara-python.
실수로 yara 모듈을 설치하지 마십시오. yara Python 모듈은 yara-python 모듈을 망가뜨리므로 실수로 설치한 경우 반드시 제거해야 합니다.
yara 모듈이 설치되면 최신 릴리스의 findyara.py를 IDA 플러그인 디렉토리에 복사하기만 하면 Yara 스캔을 시작할 준비가 완료됩니다!
FindYara는 IDA 7+ 및 __Python 3__에서 사용하도록 개발되었으며 이전 버전과 호환되지 않습니다.
FindYara는 버전 **4+**의 Python Yara 모듈이 설치되어 있어야 합니다. 이전 버전의 Yara는 플러그인과 호환되지 않으며 Yara 일치 형식의 변경 사항으로 인해 문제가 발생할 수 있습니다.
David Berard(@p0ly)에게 큰 감사를 드립니다 - GitHub에서 팔로우하기. 이 코드의 대부분은 그의 것이며, 원본 플러그인 프레임워크에 대한 모든 공로는 그에게 있습니다.
또한 Alex Hanel(@nullandnull)에게도 감사의 인사를 전합니다 - GitHub에서 팔로우하기. Alex는 IDC 메서드가 어떻게 사용되는지 정리하는 데 도움을 주었습니다. 그의 IDA Python 책은 훌륭한 참고 자료입니다!
