yara规则学习

发布时间 2023-04-11 10:54:35作者: talenth

1 关于base64匹配的3个字符串

"This program cannot" base64

<1> 最传统的 base64("This program cannot")= "VGhpcyBwcm9ncmFtIGNhbm5vdA=="  --> "VGhpcyBwcm9ncmFtIGNhbm5vd"

<2>开头加一个空格 base64(" This program cannot")="IFRoaXMgcHJvZ3JhbSBjYW5ub3Q=" --> "RoaXMgcHJvZ3JhbSBjYW5ub3"

<3>去掉第一个字母 base64("his program cannot")= "aGlzIHByb2dyYW0gY2Fubm90" --> "UaGlzIHByb2dyYW0gY2Fubm90" (这个加的'U'目前不清楚是什么意思)