|
导入表哈希初见
简单概念python模块pefile中imphash实现利用pefile获取导入表哈希利用yara获取导入表哈希
简单概念
PE文件中将导入表信息抽象出来的哈希即为导入表哈希，该值与模块名、模块中的函数名以及函数顺序相关。 利用该值可以捕获同源的样本，使用价值可以参考Mandiant的这篇文章。 VirusTotal中可以利用关键字imphash来搜索样本，其工作原理与本文提到的python模块pefile与yara工具得出的结果相同。 例如：imphash:91c8172effccd3ed565854517f1bf6fd 
python模块pefile中imphash实现
def get_imphash(self):
impstrs = []
exts = ["ocx", "sys", "dll"]
#判断有无导入表
if not hasattr(self, "DIRECTORY_ENTRY_IMPORT"):
return ""
#遍历导入表
for entry in self.DIRECTORY_ENTRY_IMPORT:
#将导入表的模块名转化为小写
if isinstance(entry.dll, bytes):
libname = entry.dll.decode().lower()
else:
libname = entry.dll.lower()
#去掉扩展名，提取模块名
parts = libname.rsplit(".", 1)
#判断是否是 这三个后缀 ocx, sys, dll 若是则去掉
if len(parts) > 1 and parts[1] in exts:
libname = parts[0]
entry_dll_lower = entry.dll.lower()
#提取函数名
for imp in entry.imports:
funcname = None
#若是序号导入则 将函数名转化为 ord+序号 如：ord4
if not imp.name:
funcname = ordlookup.ordLookup(
entry_dll_lower, imp.ordinal, make_name=True
)
if not funcname:
raise PEFormatError(
f"Unable to look up ordinal {entry.dll}:{imp.ordinal:04x}"
)
else:
funcname = imp.name
if not funcname:
continue
if isinstance(funcname, bytes):
funcname = funcname.decode()
#拼接 将模块名与函数名合并 并添加到 impstrs 列表中
impstrs.append("%s.%s" % (libname.lower(), funcname.lower()))
#将列表转化为字符串以","为分隔符并计算md5
return md5(",".join(impstrs).encode()).hexdigest()
md5前得到的字符串壳参考如下： “ws2_32.gethostname,ws2_32.gethostbyname,ws2_32.inet_ntoa,wintrust.winverifytrust,wintrust.wthelperprovdatafromstatedata,crypt32.certgetnamestringw,riched20.ord4” 其实知道这里就可以编写与VirusTotal兼容的导入表实现了
利用pefile获取导入表哈希
使用pefile获取导入表哈希（使用的样本md5：5ed9d3341034c227b46a2b393b1b70bd）： 
virustotal中的样本:  VT连接: https://www.virustotal.com/gui/file/43c5182f830865247d98f53dd488b02c3235d25d0c2179f48b3f8adcf6fa8e38/details
利用yara获取导入表哈希
import "console"
import "pe"
rule impHash
{
condition:
//false加上就不会打印 规则名与样本路径
console.log(pe.imphash()) and false
}
使用yara获取导入表哈希： 
参考： yara文档
|