YaraSharp

Yarasharp

C# Wrapper em torno da biblioteca de correspondência do Yara Pattern.

Use assinaturas formam Loki ou Yara.

O pacote Nuget está disponível

Uso

 //  All API calls happens here
YSInstance YSInstance = new YSInstance ( ) ;
        
//  Declare external variables (could be null)
Dictionary < string , object > externals = new Dictionary < string , object > ( )
{
    { "filename" , string . Empty } ,
    { "filepath" , string . Empty } ,
    { "extension" , string . Empty }
} ;

//	Get list of YARA rules
List < string > ruleFilenames = Directory . GetFiles ( @"D:Testyara" , "*.yar" , SearchOption . AllDirectories ) . ToList ( ) ;

//  Context is where yara is initialized
//  From yr_initialize() to yr_finalize()
using ( YSContext context = new YSContext ( ) )
{
    //	Compiling rules
    using ( YSCompiler compiler = instance . CompileFromFiles ( ruleFilenames , externals ) )
    {
        //  Get compiled rules
        YSRules rules = compiler . GetRules ( ) ;

        //  Get errors
        YSReport errors = compiler . GetErrors ( ) ;
        //  Get warnings
        YSReport warnings = compiler . GetWarnings ( ) ;


        //  Some file to test yara rules
        string Filename = @"" ;

		//  Get matches
		List < YSMatches > Matches = instance . ScanFile ( Filename , rules ,
				new Dictionary < string , object > ( )
				{
					{ "filename" , Alphaleonis . Win32 . Filesystem . Path . GetFileName ( Filename ) } ,
					{ "filepath" , Alphaleonis . Win32 . Filesystem . Path . GetFullPath ( Filename ) } ,
					{ "extension" , Alphaleonis . Win32 . Filesystem . Path . GetExtension ( Filename ) }
				} , 
				0 ) ;

		//  Iterate over matches
		foreach ( YSMatches Match in Matches )
		{
			//...
		}
	}
	//  Log errors
}

Para o uso de varredura assíncrona, deve chamar métodos de destruição:

 YaraSharp . CYaraSharp YSInstance = new CYaraSharp ( ) ;
YaraSharp . CContext YSContext = new YaraSharp . CContext ( ) ;
YaraSharp . CRules YSRules = YSInstance . CompileFromFiles ( RuleFilenames , null , out Errors ) ;

//  Async here

YSRules . Destroy ( ) ;
YSContext . Destroy ( ) ; 

Referência

Documentação da API da Líbia C Para uma visão geral sobre como usar a Líbia.

Recursos e limitações

• Metadados suportados
• Externos suportados
• A varredura assíncrona suportada
• Parece (por meio de sessões de depuração) que os módulos são suportados, mas não tive casos que os usavam com certeza. Então esta pergunta é aberta

Observação

A alma contém 2 projetos:

• YARA -MASTER - Onde você pode atualizar as fontes YARA para uma nova versão
• Yarasharp - onde você pode modificar fontes para adicionar / reparar recursos de wrapper

Outro

Construa no VS 2017

Compilado com Yara 3.8.1

Yara remendou para apoiar os caminhos Unicode

Você pode usar ou modificar as fontes, como quiser

Agradecimentos especiais a Kallanreed