# YARA 文件模式匹配与分类工具

> VirusTotal 推出的模式匹配工具，用规则识别和归类恶意软件样本等文件；每条规则由文本、十六进制和正则表达式字符串加一个布尔条件组成。可通过命令行、libyara C API 或 Python 扩展 yara-python 扫描单个文件、文件夹或运行中的进程。各模块向规则提供解析后的结构信息：pe 和 elf 模块提供 PE 与 ELF 头部的大部分字段，dotnet 模块提供 .NET 元数据，math 模块提供熵等计算，可选的 magic 和 cuckoo 模块则提供 libmagic 文件类型和 Cuckoo 沙箱行为报告数据。

- 类型：工具
- 目标：二进制
- 类别：原生分析工具
- 关联：基础工具
- 来源复核于：2026-11-05
- 收录于：2026-11-06
- 原始资源：<https://github.com/VirusTotal/yara>
- 一手来源：<https://github.com/VirusTotal/yara/blob/6d47342e825e59f5d8f20874d0778332bcec83a6/README.md>
- 目录页面：<https://awesomerea.org/zh/resources/yara/>
- 记录 JSON：<https://awesomerea.org/resources/yara/record.json>
- 英文版：[English](https://awesomerea.org/resources/yara/index.md)

## 使用条件与局限

- **前提条件：**支持 Windows、Linux 和 macOS；审阅时的版本为 v4.6.0，于 2026-10-27 发布。从源码构建需要 automake、libtool、make、gcc 和 pkg-config。依赖 OpenSSL 的功能只在系统已安装 OpenSSL 时启用；cuckoo（依赖 Jansson）和 magic（依赖 libmagic）模块须分别以 --enable-cuckoo 或 --enable-magic 编译才会包含。也可通过 vcpkg 安装 YARA。
- **局限：**README 标明 YARA 已进入维护模式；YARA-X 的 README 称 YARA 仍会获得缺陷修复和小功能更新，但新模块和大型功能只会加入 YARA-X。命令行文档警告，来自不可信来源的已编译规则可能导致恶意代码被执行；自 YARA 3.9 起，加载已编译规则必须显式加上 -C 参数。
- **许可：**依 COPYING 采用 BSD-3-Clause 许可。

## 一手来源

1. <https://github.com/VirusTotal/yara/blob/6d47342e825e59f5d8f20874d0778332bcec83a6/README.md>
2. <https://github.com/VirusTotal/yara/blob/6d47342e825e59f5d8f20874d0778332bcec83a6/docs/gettingstarted.rst>
3. <https://github.com/VirusTotal/yara/blob/6d47342e825e59f5d8f20874d0778332bcec83a6/docs/commandline.rst>
4. <https://github.com/VirusTotal/yara/blob/6d47342e825e59f5d8f20874d0778332bcec83a6/docs/modules/pe.rst>
5. <https://github.com/VirusTotal/yara/blob/6d47342e825e59f5d8f20874d0778332bcec83a6/docs/modules/elf.rst>
6. <https://github.com/VirusTotal/yara/blob/6d47342e825e59f5d8f20874d0778332bcec83a6/docs/modules/math.rst>
7. <https://github.com/VirusTotal/yara/blob/6d47342e825e59f5d8f20874d0778332bcec83a6/docs/modules/cuckoo.rst>
8. <https://github.com/VirusTotal/yara/blob/6d47342e825e59f5d8f20874d0778332bcec83a6/COPYING>
9. <https://github.com/VirusTotal/yara/releases/tag/v4.6.0>
10. <https://github.com/VirusTotal/yara-x/blob/1bda5fc3cbd05c937bcedc63a662f513b7490c4d/README.md>
11. <https://virustotal.github.io/yara-x/blog/yara-x-is-stable/>

## 同分区更多条目：原生二进制

- [Cheat Engine 游戏与应用内存分析调试工具](https://awesomerea.org/zh/resources/cheat-engine/index.md) · 工具
- [Noriben 基于 Procmon 的恶意软件行为分析脚本](https://awesomerea.org/zh/resources/noriben/index.md) · 工具
- [QEMU 机器与用户态模拟器](https://awesomerea.org/zh/resources/qemu/index.md) · 工具
- [Hex Fiend macOS 十六进制编辑器](https://awesomerea.org/zh/resources/hex-fiend/index.md) · 工具
- [ScyllaHide 用户态反反调试库](https://awesomerea.org/zh/resources/scyllahide/index.md) · 工具
- [YARA-X Rust 版 YARA 模式匹配工具](https://awesomerea.org/zh/resources/yara-x/index.md) · 工具

## 关于此条目

说明已依据一手来源复核。
原创说明采用 MIT 许可；外部项目、论文与素材保留各自的权利和许可。