Mquery是一个Web的YARA样本查询平台，由波兰CERT开源。项目地址：https://github.com/CERT-Polska/mquery
mquery架构
可见mquery的组件是比较简单的，由4个部分组成：
-
Web前端
-
Daemons (也叫mquery agents或workers)
-
UrsaDB (后端数据库)
-
Redis
git clone --recurse-submodules https://github.com/CERT-Polska/mquery.gitcd mquerymkdir samplesvim .env #设置样本路径，比如SAMPLES_DIR=/root/mquery/samples INDEX_DIR=/root/mquery/indexdocker-compose up -d --scale daemon=3
3.在项目的sample路径下放置样本（.env中配置的挂载路径）
4.构建ursadb索引
docker-compose exec ursadb ursacliindex "/mnt/samples" with taints ["white"]
rule mquery_exceptions {strings: $a = "Exception"condition: all of them}
https://github.com/elastic/protections-artifacts/blob/main/yara/rules/Linux_Trojan_Mirai.yar
|
测试方式 |
耗费时间 |
|
mquery |
35s |
|
yara(Linux) |
48s |
mquery流程图
rule example{strings:$test = "abcd"condition:$test}
https://cert-polska.github.io/ursadb/
hunter：web.icon="37013ee35e340a9f0bdf65ec56b21f18"fofa：icon_hash="1706076547"
原文始发于微信公众号（无界信安）：YARA样本查询平台：mquery
免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论