如何为ClamAV创建字节签名？

Question

我想从目标文件的.text部分获取一个字节序列并将其转换为签名。我想用这个签名执行ClamAV的clamscan来查找包含相同字节序列的其他目标文件。 使用objdump，字节序列如下所示：

此示例的字节序列如下所示：

  

55 48 89 e5 48 83 ec 10 bf 0a 00 00 00 e8 ?? ?? ?? ?? 48 89 45 f8 c9 c3

??作为占位符。

我没有找到使用sigtool的方法。是否有其他工具，或者我必须手动执行，如果是这样，我必须以哪种形式保存签名（格式在签名数据库和数据库本身的格式）？

Answer 1

我必须编写一个手工完成此任务的脚本。我没有找到一种方法，sigtool可以为我做到这一点。脚本遍历objdump并替换了变量bytes。我将结果存储在一个数据库中，通过这个数据库，我可以识别哪个库在二进制模式下使用clamscan静态链接（即使有人删除了库名）。