Quipu

一个用于编写、验证、编译和测试 YARA 规则的桌面工作台。

Quipu（发音为“KEE-poo”）将项目浏览器、支持 YARA 的编辑器、YARA-X 编译器以及聚焦的扫描结果整合到一个本地应用程序中。它内嵌了 YARA-X 及其语言服务器，因此你无需单独安装 YARA。

[!IMPORTANT] Quipu 处于 MVP 阶段。最初支持的平台是 64 位 Linux；Windows 和 macOS 支持将随后推出。

功能

• 将包含 .yar 和 .yara 文件的文件夹作为工作区打开，或从临时规则开始。
• 浏览推断或配置的入口点、嵌套包含、外部包含以及项目问题。
• 使用 Monaco 语法高亮、补全、悬停文档和实时 YARA-X 诊断进行编辑。
• 编译完整工作区，然后扫描输入的文本或选定的文件。
• 在十六进制查看器中检查匹配的规则、模式、偏移量、字节长度和高亮字节。
• 从诊断信息和匹配结果直接跳转到其源定义。
• 从有界本地缓存中恢复未更改的已编译规则集。
• 使用应用程序附带的一组小型、自包含的示例项目进行工作。

规则和扫描目标均在本地处理。Quipu 不会将其内容发送到远程服务。

在 Linux 上安装

Linux x86-64 软件包发布在 GitHub Releases 页面上：

软件包	最适合	安装或运行
AppImage	在受支持的发行版上便携使用	chmod +x Quipu_*.AppImage && ./Quipu_*.AppImage
.deb	Ubuntu 22.04+ 和 Debian 12+	sudo apt install ./Quipu_*.deb
.rpm	较新的 Fedora 版本	sudo dnf install ./Quipu-*.rpm

.deb 和 .rpm 软件包使用系统 WebKitGTK 运行时。如果你的发行版无法满足该依赖项，请使用 AppImage。

Quipu 软件包目前未签名。每个版本都包含一个 SHA256SUMS 文件；将其与软件包一起下载，并使用以下命令验证你下载的文件：

sha256sum --ignore-missing --check SHA256SUMS

校验和可以检测意外损坏，但不是经过身份验证的签名。

快速开始

1. 启动 Quipu 并选择 File → Open Example… → Basic text match。
2. 在编辑器中浏览 text_indicators.yar。
3. 选择 Rules → Compile Workspace 或按 Ctrl+Shift+B。
4. 使用 Rules → Scan Target 扫描准备好的目标，或按 Ctrl+Shift+Enter。
5. 展开一个匹配项并选择它以检查高亮显示的字节。

完整指南随 Quipu 一起打包在 Help → Documentation 下。其源代码也可在 documentation/content 中找到。

工作区和 quipu.toml

在没有配置的情况下，Quipu 会递归发现规则文件，并从每个未被其他文件包含的文件中推断出一个入口点。当你需要显式入口点、包含目录或排除项时，请在工作区根目录添加 quipu.toml：

schema = 1
entrypoints = ["main.yar"]
include_dirs = ["rules", "../shared-rules"]
exclude = ["fixtures/**", "vendor/legacy/**"]

有关完整的项目模型和清单参考，请参阅工作区和项目。

从源代码构建

Quipu 目前面向 Linux x86-64。构建需要：

• Rust 1.93 或更高版本
• Node.js 22.6 或更高版本
• Zola 0.23
• Git
• Tauri 和 WebKitGTK 所需的原生库

在 Debian 或 Ubuntu 上，使用以下命令安装原生依赖项：

sudo apt update
sudo apt install -y \
  build-essential \
  curl \
  file \
  libayatana-appindicator3-dev \
  libgtk-3-dev \
  librsvg2-dev \
  libssl-dev \
  libwebkit2gtk-4.1-dev \
  patchelf \
  rpm \
  wget

然后构建所有三种 Linux 软件包格式：

git clone https://github.com/corelight/quipu.git
cd quipu/app
npm ci
npm run tauri -- build --bundles appimage,deb,rpm

构建产物写入 app/src-tauri/target/release/bundle/ 下。首次构建可能需要一段时间，因为 Cargo 会从源代码编译 YARA-X 及其依赖项。

开发和测试

安装依赖项并启动开发应用程序：

cd app
npm ci
npm run tauri -- dev

使用以下命令运行前端单元测试、生产前端构建和 Rust 测试：

cd app
npm test
npm run build

cd src-tauri
cargo test --locked

原生菜单验收测试套件有额外的 Linux 显示服务器要求。有关其设置和用法，请参阅 test/README.md。

架构

Quipu 是一个 Tauri 应用程序，具有 vanilla TypeScript 前端和 Rust 后端：

• Vite 将前端和 Monaco 编辑器打包到应用程序 webview 中。
• Tauri IPC 将 UI 连接到 Rust 中的工作区、文件系统、编译、缓存和扫描服务。
• YARA-X 编译器和语言服务器在进程内运行。
• Zola 构建一个嵌入应用程序的离线文档站点。

app/src/           TypeScript 前端
app/src-tauri/     Rust 后端和桌面打包
documentation/    捆绑离线指南的源文件
examples/         应用程序捆绑的项目
test/ui/           原生菜单验收测试框架

应用程序版本在 app/package.json 中定义；Tauri 在命名软件包和报告运行版本时会读取该值。

当前限制

• 最初仅支持 Linux x86-64 软件包。
• Quipu 一次扫描一个选定的文件或一个文本缓冲区，而不是目录或批次。
• 新规则在工作区根目录创建。移动和删除操作在 Quipu 之外执行。
• 临时规则可以编译和扫描，但不能保存或缓存。

贡献和安全

欢迎贡献。在打开拉取请求之前，请阅读 CONTRIBUTING.md。

请不要在公开问题中报告安全漏洞。请遵循 SECURITY.md 中的私密报告流程。

致谢

Quipu 由 Corelight 构建，并由 YARA-X、Monaco Editor 和 Tauri 提供支持。

许可证

Quipu 在 3 条款 BSD 许可证下分发。请参阅 LICENSE。从第三方纳入的软件的通知位于 THIRD_PARTY_LICENSES。