搜索

[12930] 2018-07-11_Mquery：一款带有Web前端的YARA恶意软件查询加速器

文档创建者：s7ckTeam
浏览次数：36
最后更新：2025-01-18
2018-07-11_Mquery：一款带有Web前端的YARA恶意软件查询加速器 M q u e r y ： 一 款 带 有 W e b 前 端 的 Y A R A 恶 意 软 件 查 询 加 速 器 A l p h a _ h 4 c k   F r e e B u f   2 0 1 8 - 0 7 - 1 1 搜 索 特 定 恶 意 软 件 样 本 很 困 难 ？ 不 用 怕 ， 今 天 给 大 家 介 绍 一 款 名 叫 搜 索 特 定 恶 意 软 件 样 本 很 困 难 ？ 不 用 怕 ， 今 天 给 大 家 介 绍 一 款 名 叫 M q u e r y 的 工 具 ， 它 带 有 友 好 的 的 工 具 ， 它 带 有 友 好 的 W e b 前 端 界 前 端 界 面 ， 可 帮 助 大 家 迅 速 寻 找 到 自 己 想 要 的 恶 意 软 件 样 本 。 多 亏 了 我 们 的 面 ， 可 帮 助 大 家 迅 速 寻 找 到 自 己 想 要 的 恶 意 软 件 样 本 。 多 亏 了 我 们 的 U r s a D B 数 据 库 ， 正 是 因 为 有 了 数 据 库 ， 正 是 因 为 有 了 它 ， 它 ， M q u e r y 才 可 以 在 一 眨 眼 的 功 夫 给 到 你 想 要 的 数 据 。 才 可 以 在 一 眨 眼 的 功 夫 给 到 你 想 要 的 数 据 。 工 作 机 制 工 作 机 制 Y A R A 的 速 度 毋 庸 置 疑 ， 但 是 通 过 给 定 的 数 据 签 名 来 搜 索 大 型 数 据 库 相 对 来 说 还 是 比 较 慢 的 。 为 了 解 决 这 个 问 题 ， 我 们 实 现 了 一 个 名 叫 U r s a D B 的 自 定 义 数 据 库 ， 它 可 以 对 结 果 进 行 预 过 滤 ， 因 此 我 们 只 需 要 运 行 Y A R A 搜 索 一 小 段 数 据 或 代 码 即 可 ： 工 具 安 装 （ 工 具 安 装 （ D o c k e r ） ） 建 议 大 家 使 用 d o c k e r - c o m p o s e 来 构 建 项 目 源 码 ： 其 中 “ — s c a l e   d a e m o n = … ” 指 定 的 是 选 择 或 索 引 的 同 步 进 程 任 务 数 量 。 注 意 ： “ d o c k e r - c o m p o s e ” 必 须 支 持 d o c k e r - c o m p o s e . y m l   v 3 语 句 ， 如 果 工 具 遇 到 问 题 ， 可 尝 试 更 新 你 的 软 件 。 g i t   c l o n e   - - r e c u r s e - s u b m o d u l e s   h t t p s : / / g i t h u b . c o m / C E R T - P o l s k a / m q u e r y . g i t d o c k e r - c o m p o s e u p   - - s c a l e   d a e m o n = 3
工 具 安 装 （ 手 动 ） 工 具 安 装 （ 手 动 ） 1 . 运 行 u r s a d b 数 据 库 ； 2 . 安 装 r e d i s - s e r v e r 和 P y t h o n 2 ； 3 . 安 装 依 赖 组 件 ： p i p i n s t a l l - r r e q u i r e m e n t s . t x t ； 4 . 将 c o n f i g . e x a m p l e . p y 重 命 名 为 c o n f i g . p y ， 并 对 相 关 配 置 进 行 调 整 ， 设 置 单 独 的 S E C R E T _ K E Y ； 5 . 在 W e b 服 务 器 中 搭 建 并 设 置 F l a s k 应 用 （ w e b a p p . p y ） ； 6 . 运 行 d a e m o n . p y （ 一 个 可 以 持 续 运 行 的 脚 本 文 件 ） 。 工 具 使 用 工 具 使 用 1 . 搭 建 环 境 ， 完 成 工 具 的 安 装 ； 2 . 在 浏 览 器 输 入 h t t p : / / l o c a l h o s t : 8 0 / 访 问 W e b 界 面 ； 3 . 可 在 / v a r / l i b / d o c k e r / v o l u m e s / m q u e r y _ s a m p l e s / _ d a t a 中 查 询 主 机 托 管 的 索 引 文 件 ， 可 使 用 “ d o c k e r   i m a g e   i n s p e c t m q u e r y _ s a m p l e s ” 命 令 对 样 本 进 行 调 试 ； 4 . 打 开 W e b 接 口 ， 选 择 “ a d m i n ” 标 签 ， 点 击 “ I n d e x   / m n t / s a m p l e s ” ； 5 . 在 索 引 过 程 中 ， 当 前 运 行 进 程 可 在 “ a d m i n ” 标 签 下 的 “ b a c k e n d ” 部 分 查 看 到 ， u r s a d b 也 会 定 期 在 终 端 显 示 结 果 数 据 ； 6 . 成 功 索 引 之 后 ， 你 的 文 件 将 可 被 搜 索 到 ， 切 换 到 主 标 签 页 ， 上 传 相 应 Y a r a ， 例 如 ： *   参 考 来 源 ： 参 考 来 源 ： m q u e r y ， ， F B 小 编 小 编 A l p h a _ h 4 c k 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M r u l e e m o t e t 4 _ b a s i c :   t r o j a n {         m e t a :                 a u t h o r   =   " p s r o k 1 / m a k "                 m o d u l e   =   " e m o t e t "         s t r i n g s :                 $ e m o t e t 4 _ r s a _ p u b l i c   =   {   8 d   ? ?   ? ?   5 ?   8 d ? ?   ? ?   5 ?   6 a   0 0   6 8   0 0   8 0   0 0   0 0   f f   3 5   [ 4 ]   f f   3 5   [ 4 ]   6 a   1 3   6 8   0 1   0 0   0 1   0 0   f f   1 5 [ 4 ]   8 5   }                 $ e m o t e t 4 _ c n c _ l i s t   =   {   3 9   ? ?   ? 5   [ 4 ]   0 f 4 4   ? ?   ( F F   |   A 3 ) }         c o n d i t i o n :                 a l l   o f   t h e m }
2 0 1 8 年 7 月 2 5 日 ， 由 F r e e B u f   主 办 的 「 聚 焦 终 端 响 应   智 慧 安 全 运 营   2 0 1 8   S O C   &   E D R 应 用 建 设 高 峰 论 坛 」 将 在 “ 鹏 城 ” 深 圳 召 开 。 本 次 大 会 是 F r e e B u f 企 业 安 全 俱 乐 部 年 度 系 列 活 动 之 一 ， 我 们 邀 请 了 多 位 在 S O C 建 设 与 运 营 以 及 在 端 点 安 全 、 E D R 落 地 应 用 等 方 面 有 着 丰 富 实 践 经 验 的 企 业 安 全 负 责 人 和 知 名 厂 商 ， 为 大 家 带 来 精 彩 分 享 与 解 读 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理