Yara规则是否支持非ascii字符

Question

我试图在yara规则中包含非ascii字符

首先在yara规则名称中，并且还有一个字符串，用于规则的条件

在这两种情况下我都会收到错误：＆＃34;非ascii字符＆＃34;在测试规则时。 所以似乎yara不支持非ascii字符？

 Rule i18n_KatakanaTest_string_specific_ アイルランド: i18n test アイルランドTest
{
    meta:
        description = "This is an i18n example for the アイルランド exe"
        thread_level = 3
        in_the_wild = false
        weight = 100

    strings:
        $stringa = "アイルランド"


    condition:
        $stringa
}

规则保存为fe-JAP

验证规则：

C:\Tools\yara-3.4.0-win64>yara64.exe fe_JAP ASCIItest_file.exe

返回：

fe_JA (1):error: non-ascii character
fe_JA (1):error: syntax error, unexpected $end, expecting '{'

Answer 1

你是对的。对于规则名称和字符串，YARA不支持非ascii字符。如果要搜索日语字符串，可以二进制形式搜索它们。当然，为了做到这一点，你必须在编码后知道字符串的原始字节。