Правило Yara для поиска в файле eml

Просто начинаю с Яры и сталкиваюсь с некоторыми проблемами. Когда я запускаю yara для проверки правила, над которым я работаю (это правило будет проверять файлы.eml), я записываю результаты в файл. Когда я смотрю на файл, в который я написал, там ничего нет. Вот мое правило.

rule test {

  strings: 
    $text_a = "WORD"

    $everyone = "everyone@domain.com"

    $return_path = /^\<everyone([.]+)\@domain\.com\>$/

    $user_a = "usera@domain.com"
    $user_b = "userb@domain.com"

  condition: 
    any of ($user*) and ($text_a and $allstaff and $return_path)
}

Мой набор данных имеет usera@domain.com, "WORD" и переменную пути возврата.

Регулярное выражение в переменной пути возврата содержит слово "все", несколько случайных символов, а затем домен. Когда я запускаю это в терминале, никаких ошибок не возникает. Когда я пишу в файл, в нем ничего нет.

yara -s test.yara dataset > text.txt

Если я запускаю ту же команду с флагом -n, я получаю результаты. Я не уверен, что моя логика, регулярное выражение или понимание флагов неверны. Любое руководство будет полезно!

Источник

1 ответ

Я, наверное, должен был просто прочитать документацию. Yara не использует все классы регулярных выражений.

Источник
Другие вопросы по тегам