Как я могу использовать pe.entry_point для написания правил YARA?

Question

Я написал условие в правиле YARA, как это pe.entry_point == {12 A5 26} но я получаю неожиданное _HEX_STRING_ error, В чем проблема? Как я могу получить адрес entry_point? Какой тип выхода pe.entry_point?

Answer 1

pe.entry_point это DWORD нашел в IMAGE_OPTIONAL_HEADER,

Реализация этой функции (то есть, как Yara получает pe.entry_point значение из переносимых исполняемых файлов) доступно на странице Yara Github.

Что касается ошибки, с которой вы столкнулись, попробуйте изменить правило на pe.entry_point == 0x12A526, Я основываю это предложение на примере правила тестирования.

Answer 2

Прошло 5 лет, но я верю, что используяatсинтаксис будет работать

      strings:
  $ep_data = { 12 A5 26 }
condition:
  $ep_data at pe.entry_point