yara规则学习

标签：yara cannot -- base64 规则学习 program

1 关于base64匹配的3个字符串

"This program cannot" base64

<1> 最传统的 base64("This program cannot")= "VGhpcyBwcm9ncmFtIGNhbm5vdA=="  --> "VGhpcyBwcm9ncmFtIGNhbm5vd"

<2>开头加一个空格 base64(" This program cannot")="IFRoaXMgcHJvZ3JhbSBjYW5ub3Q=" --> "RoaXMgcHJvZ3JhbSBjYW5ub3"

<3>去掉第一个字母 base64("his program cannot")= "aGlzIHByb2dyYW0gY2Fubm90" --> "UaGlzIHByb2dyYW0gY2Fubm90" (这个加的'U'目前不清楚是什么意思)

标签：yara,cannot,--,base64,规则学习,program
From： https://www.cnblogs.com/talenth/p/17305473.html