rule silent_banker : banker
{
    meta:
        description = "This is just an example"
        threat_level = 3
        in_the_wild = true
    strings:
        $a = {6A 40 68 00 30 00 00 6A 14 8D 91}
        $b = {8D 4D B0 2B C1 83 C0 27 99 6A 4E 59 F7 F9}
        $c = "UVODFRYSIHLNWPEJXQZAKCBGMT"
    condition:
        $a or $b or $c
}

F4 23 01 02 03 04 62 B4
F4 23 00 00 00 00 00 62 B4
F4 23 15 82 A3 04 45 22 62 B4

正则表达式用”/”括起来，例如$re1 = /md5: [0-9a-fA-F]{32}/

$re2 = /state: (on|off)/

正则表达式还可以接着nocase，ascii，wide，和fullword修饰就像在文本字符串。这些修饰符的语义在两种情况下都是相同的。

\	引用下一个元字符
^	匹配文件的开头
$	匹配文件末尾
|	交替
()	分组
[]	带括号的字符类

*	匹配 0 次或多次
+	匹配 1 次或多次
?	匹配 0 或 1 次
{n}	完全匹配 n 次
{n,}	至少匹配 n 次
{,m}	最多匹配 m 次
{n,m}	匹配 n 到 m 次

*?	匹配 0 次或多次，非贪婪
+?	匹配 1 次或多次，非贪婪
??	匹配 0 次或 1 次，非贪婪
{n}?	精确匹配 n 次，非贪婪
{n,}?	匹配至少 n 次，非贪婪
{,m}?	最多匹配 m 次，非贪婪
{n,m}?	匹配 n 到 m 次，非贪婪

\t	标签 (HT, TAB)
\n	新线 (LF, NL)
\r	返回 (CR)
\f	换页 (FF)
\a	警钟
\xNN	序数为给定十六进制数的字符

\w	匹配一个单词字符（字母数字加“_”）
\W	匹配一个非单词字符
\s	匹配一个空白字符
\S	匹配一个非空白字符
\d	匹配一个十进制数字字符
\D	匹配一个非数字字符

\b	匹配单词边界
\B	除了在单词边界处匹配

YARA 中的所有字符串都可以标记为private，这意味着它们永远不会包含在 YARA 的输出中。

例如：$text_string = “foobar” private

关键词	支持的字符串类型	概括	限制
nocase	文本，正则表达式	忽略大小写	不能与xor、base64、 或base64wide一起使用
wide	文本，正则表达式	通过交错空 (0x00) 字符来模拟 UTF16	无
ascii	文本，正则表达式	匹配 ASCII 字符，仅在wide使用时才需要	无
xor	文本	匹配具有单字节键的 XOR 文本字符串	不能与nocase、base64、 或base64wide一起使用
base64	文本	base64 编码的字符串(分割成3条)	不能与nocase、xor、 或fullword一起使用
base64wide	文本	base64 编码的字符串(分割成3条)，然后交错空字符，如 wide	不能与nocase、xor、 或fullword一起使用
fullword	文本，正则表达式	匹配前后没有字母数字挨着的字符(串)	不能与base64或一起使用base64wide一起使用
private	十六进制、文本、正则表达式	匹配不包含在输出中	无

所有运算符的优先级如下：

优先级	操作	描述	性质
1	[] .	Array subscripting   数组下标 Structure member access  结构成员访问	从左到右
2	– ~	Unary minus  按位减 Bitwise not  按位非	从右到左
3	* \ %	Multiplication  乘法 Division  除法 Remainder  取余	从左到右
4	+ –	Addition  加法 Subtraction  减法	从左到右
5	<< >>	Bitwise left shift  按位左移 Bitwise right shift  按位右移	从左到右
6	&	Bitwise AND  按位与	从左到右
7	^	Bitwise XOR  按位异或	从左到右
8	|	Bitwise OR  按位或	从左到右
9	< <= > >=	Less than  小于 Less than or equal to  小于等于 Greater than  大于 Greater than or equal to  大于等于	从左到右
10	== != contains icontains startswith istartswith endswith iendswith matches	Equal to  等于 Not equal to  不等于 String contains substring  包含 Like contains but case-insensitive  包含不区分大小写 String starts with substring  以开始字符串 Like startswith but case-insensitive 以开始字符串不区分大小写 String ends with substring  以结尾字符串 Like endswith but case-insensitive  以结尾字符串区分大小写 String matches regular expression  正则表达式	从左到右
11	not	Logical NOT  逻辑非	从右到左
12	and	Logical AND  逻辑与	从左到右
13	or	Logical OR  逻辑或	从左到右

rule Example
{
    strings:
        $a = "text1"
        $b = "text2"
        $c = "text3"
        $d = "text4"

    condition:
        ($a or $b) and ($c or $d)
}

有时候我们不仅需要知道字符串是否存在，还需要知道该字符串在文件或进程内存中出现了多少次。

每个字符串出现的次数由一个变量表示，该变量的名称是字符串标识符，但用 # 字符代替 $ 字符。

例如：字符串$a正好匹配6次，$b出现十次以上

rule CountExample
{
    strings:
        $a = "dummy1"
        $b = "dummy2"

    condition:
        #a == 6 and #b > 10
}

某个字符串在文件或进程的某个位置，用关键字at

例如：$a是否在文件100或者虚拟地址100处，以及 $b是否在文件100或者虚拟地址100处

rule AtExample
{
    strings:
        $a = "dummy1"
        $b = "dummy2"

    condition:
        $a at 100 and $b at 200
}

或者通过关键字in在范围内搜索字符串

rule InExample
{
    strings:
        $a = "dummy1"
        $b = "dummy2"

    condition:
        $a in (0..100) and $b in (100..filesize)
}

$a必须位于0-100偏移处，$b必须位于100-文件末尾偏移处

还可以使用@a[i] 获取字符串 $a 第 i 次出现的偏移量或虚拟地址。所以第一次出现是@a[1]，第二次是@a[2]，依此类推。如果您提供的索引大于字符串出现的次数，则结果将为 NaN（非数字）值。

关键字filesize是字符串大小，例如：

rule FileSizeExample
{
    condition:
        filesize > 200KB
}

该规则只能适用于文件，不能适用于进程。在进程中永远不会匹配。

关键字pe.entry_point用途是在入口点寻找某种模式以检测加壳程序或简单文件感染程序。

例如：

rule EntryPointExample1
{
    strings:
        $a = { E8 00 00 00 00 }

    condition:
        $a at entrypoint
}

rule EntryPointExample2
{
    strings:
        $a = { 9C 50 66 A1 ?? ?? ?? 00 66 A9 ?? ?? 58 0F 85 }

    condition:
        $a in (entrypoint..entrypoint + 10)
}

pe.entry_point规则中变量的存在意味着只有 PE 文件才能满足该规则。如果文件不是 PE ，则使用此变量的任何规则的计算结果为 false。

使用以下函数从给定偏移量的文件中读取数据：

int8(<offset or virtual address>)
int16(<offset or virtual address>)
int32(<offset or virtual address>)

uint8(<offset or virtual address>)
uint16(<offset or virtual address>)
uint32(<offset or virtual address>)

int8be(<offset or virtual address>)
int16be(<offset or virtual address>)
int32be(<offset or virtual address>)

uint8be(<offset or virtual address>)
uint16be(<offset or virtual address>)
uint32be(<offset or virtual address>)

这些intXX函数从 <offset or virtual address> 读取 8、16 和 32 位有符号整数，而函数则uintXX读取无符号整数。

16 位和 32 位整数都被认为是小端的。如果要读取大端整数，请使用以be. <offset or virtual address> 参数可以是任何返回无符号整数的表达式，包括uintXX函数本身的返回值

例如：

rule IsPE
{
    condition:
        // MZ signature at offset 0 and ...
        uint16(0) == 0x5A4D and
        // ... PE signature at offset stored in MZ header at 0x3C
        uint32(uint32(0x3C)) == 0x00004550
}

关键字of代表至少包含

例如：字符串 ($a,$b,$c) 中至少有两个必须存在于文件中，但哪两个都无关紧要。

rule OfExample1
{
    strings:
        $a = "dummy1"
        $b = "dummy2"
        $c = "dummy3"

    condition:
        2 of ($a,$b,$c)
}

也可以使用通配符指定，例如：

rule OfExample2
{
    strings:
        $foo1 = "foo1"
        $foo2 = "foo2"
        $foo3 = "foo3"

    condition:
        2 of ($foo*)  // equivalent to 2 of ($foo1,$foo2,$foo3)
}

rule OfExample3
{
    strings:
        $foo1 = "foo1"
        $foo2 = "foo2"

        $bar1 = "bar1"
        $bar2 = "bar2"

    condition:
        3 of ($foo*,$bar1,$bar2)
}

甚至可以使用($*)来引用规则中的所有字符串，或者编写等效的关键字them以提高可读性。

rule OfExample4
{
    strings:
        $a = "dummy1"
        $b = "dummy2"
        $c = "dummy3"

    condition:
        1 of them
}

rule OfExample4
{
    strings:
        $a = "dummy1"
        $b = "dummy2"
        $c = "dummy3"

    condition:
        1 of ($*)
}

关键字any和all也可以使用。

all of them       // all strings in the rule
any of them       // any string in the rule
all of ($a*)      // all strings whose identifier starts by $a
any of ($a,$b,$c) // any of $a, $b or $c
1 of ($*)         // same that "any of them"

关键字for..of从到必须满足

例如：

for expression of string_set : ( boolean_expression )

在集合string_set中，expression必须满足( boolean_expression )

例如：

for any of ($a,$b,$c) : ( $ at pe.entry_point )

布尔表达式中的 $ 符号不与任何特定字符串相关联，它将是 $a，然后是 $b等

甚至可以这样：

for all of them : ( # > 3 )  次数
for all of ($a*) : ( @ > @b )  第一个偏移量

当of和for..of后跟them时，可以不指定名称

例如：

rule AnonymousStrings
{
    strings:
        $ = "dummy1"
        $ = "dummy2"

    condition:
        1 of them
}

可以使用以下语法访问给定字符串出现在文件或进程地址空间中的偏移量或虚拟地址：@a[i]，其中 i 是一个索引，指示出现了你所指的字符串 $a 。（@a[1]、@a[2]、…）。

例如：

rule Occurrences
{
    strings:
        $a = "dummy1"
        $b = "dummy2"

    condition:
        for all i in (1,2,3) : ( @a[i] + 10 == @b[i] )
}

以上条件也可以写成：

for all i in (1..3) : ( @a[i] + 10 == @b[i]

另一个规则：

for all i in (1..#a) : ( @a[i] < 100 )   //#a 代表 $a 出现的次数

此规则指定 $a 的每次出现都应在文件的前 100 个字节内。

也可以写成：

for any i in (1..#a) : ( @a[i] < 100 )
for 2 i in (1..#a) : ( @a[i] < 100 )

在 YARA 4.0 中，for..of运算符得到了改进，现在它不仅可以用于迭代整数枚举和范围（例如：1,2,3,4 和 1..4），还可以用于任何类型的可迭代数据类型，例如YARA 模块定义的数组和字典。例如，以下表达式在 YARA 4.0 中有效：

for any section in pe.sections : ( section.name == ".text"）

以上规则等效于：

for any i in (0..pe.number_of_sections-1) : ( pe.sections[i].name == ".text" )

在迭代字典时，您必须提供两个变量名，它们将保存字典中每个条目的键和值，例如：

for any k,v in some_dict : ( k == "foo" and v == "bar" )

例如：

rule Rule1
{
    strings:
        $a = "dummy1"

    condition:
        $a
}

rule Rule2
{
    strings:
        $a = "dummy2"

    condition:
        $a and Rule1
}

全局规则可以一次对所有规则施加限制

例如：

global rule SizeLimit
{
    condition:
        filesize < 2MB
}

在匹配给定文件时 YARA 不会报告的规则

私有规则可以作为其他规则的构建块，同时防止用不相关的信息混淆 YARA 的输出。要将规则声明为私有，只需private在规则声明之前添加关键字。

private rule PrivateRuleExample
{
    ...
}

可以向规则添加标签。

些标签可以稍后用于过滤 YARA 的输出并仅显示您感兴趣的规则。

rule TagsExample1 : Foo Bar Baz
{
    ...
}

rule TagsExample2 : Bar
{
    ...
}

只允许使用字母数字字符和下划线，并且标签不能以数字开头。它们也区分大小写。

除了字符串定义和条件部分，规则还可以有一个元数据部分，可以在其中放置有关规则的其他信息。它们的唯一目的是存储有关规则的附加信息。

使用关键字meta

rule MetadataExample
{
    meta:
        my_identifier_1 = "Some string data"
        my_identifier_2 = 24
        my_identifier_3 = true

    strings:
        $my_text_string = "text here"
        $my_hex_string = { E2 34 A1 C8 23 FB }

    condition:
        $my_text_string or $my_hex_string
}

模块是 YARA 核心功能的扩展。一些模块，如PE 模块和Cuckoo 模块 是由 YARA 官方发布的，其他模块可以由第三方甚至你自己创建。

关键字import

import "pe"
import "cuckoo"

导入模块后，您可以使用其功能，始终 用作模块导出的任何变量或函数的前缀。例如：

pe.entry_point == 0x1000
cuckoo.http_request(/someregexp/)

模块经常让变量处于未定义状态，例如当变量在当前上下文中没有意义时（考虑pe.entry_point 在扫描非 PE 文件时）。YARA 以允许规则保持其意义的方式处理未定义的值。

import "pe"

rule Test
{
    strings:
        $a = "some string"

    condition:
        $a and pe.entry_point == 0x1000
}

如果扫描的文件不是 PE，您不会期望此规则与文件匹配，即使它包含字符串，因为必须满足两个条件（字符串的存在和入口点的正确值）。

如果更改为

$a or pe.entry_point == 0x1000

则可以匹配文件(不限于PE)

外部变量允许您定义依赖于外部提供的值的规则。

rule ExternalVariableExample1
{
    condition:
        ext_var == 10
}

在这种情况下ext_var是一个外部变量，其值在运行时分配。外部变量可以是以下类型：整数、字符串或布尔值；它们的类型取决于分配给它们的值。整数变量可以替代条件中的任何整数常量，布尔变量可以占据布尔表达式的位置。例如：

rule ExternalVariableExample2
{
    condition:
        bool_ext_var or filesize < int_ext_var
}

rule ContainsExample
{
    condition:
        string_ext_var contains "text"
}

rule CaseInsensitiveContainsExample
{
    condition:
        string_ext_var icontains "text"
}

rule StartsWithExample
{
    condition:
        string_ext_var startswith "prefix"
}

rule EndsWithExample
{
    condition:
        string_ext_var endswith "suffix"
}

rule MatchesExample
{
    condition:
        string_ext_var matches /[a-z]+/
}

关键字include包含其他文件

include "other.yar"

include "./includes/other.yar"
include "../includes/other.yar"

include "/home/plusvic/yara/includes/other.yar"

include "c:/yara/includes/other.yar"
include "c:\\yara\\includes\\other.yar"