在YARA规则中匹配PHP动态函数调用：应对字符串拼接混淆

eval("\$x=gzin"."flate(base"."64_de"."code()));

rule php_obfuscated_decode_contextual {
    meta:
        author = "AI Assistant"
        description = "Detects obfuscated gzinflate(base64_decode()) calls within execution contexts."
        date = "2023-10-27"
        severity = "critical"

    strings:
        // 常见的执行函数
        $s_eval = "eval(" ascii nocase
        $s_assert = "assert(" ascii nocase
        $s_create_function = "create_function(" ascii nocase

        // 完整的灵活匹配模式
        $re_full_flexible = /gzinflate\W*\(\W*base64_decode\W*\(/ ascii nocase

        // 内部拼接的函数名部分
        $re_gzinflate_part = /(gzinflate|gzin[\s\W]*?flate)/ ascii nocase
        $re_base64_decode_part = /(base64_decode|base64[\s\W]*?decode)/ ascii nocase

    condition:
        // 方案一：直接匹配灵活的完整模式
        $re_full_flexible or
        // 方案二：匹配拼接的函数名部分，并确保在执行上下文中
        (
            (any of ($re_gzinflate_part, $re_base64_decode_part)) and
            (any of ($s_eval, $s_assert, $s_create_function))
        )
}

rule php_obfuscated_decode_multi_stage {
    meta:
        author = "AI Assistant"
        description = "Advanced detection for obfuscated gzinflate(base64_decode()) with proximity and context."
        date = "2023-10-27"
        severity = "critical"

    strings:
        // gzinflate 的各种形式
        $gzinflate_literal = "gzinflate" ascii nocase
        $gzinflate_concat1 = /gzin[\s\W]*?flate/ ascii nocase // gzin"."flate
        $gzinflate_concat2 = /gzinf[\s\W]*?late/ ascii nocase // gzinf"."late

        // base64_decode 的各种形式
        $base64_decode_literal = "base64_decode" ascii nocase
        $base64_decode_concat1 = /base64[\s\W]*?decode/ ascii nocase // base64"."decode
        $base64_decode_concat2 = /base64_d[\s\W]*?code/ ascii nocase // base64_d"."code

        // 常见的执行上下文
        $exec_context1 = "eval(" ascii nocase
        $exec_context2 = "assert(" ascii nocase
        $exec_context3 = "call_user_func(" ascii nocase

    condition:
        // 至少一个 gzinflate 变体
        ( $gzinflate_literal or $gzinflate_concat1 or $gzinflate_concat2 ) and
        // 至少一个 base64_decode 变体
        ( $base64_decode_literal or $base64_decode_concat1 or $base64_decode_concat2 ) and
        // 至少一个执行上下文
        ( $exec_context1 or $exec_context2 or $exec_context3 ) and
        // 确保 gzinflate 和 base64_decode 变体在合理接近的范围内 (例如，相距不超过200个字节)
        // 注意：YARA本身没有直接的"within N bytes" for regexes without using a capture group and range.
        // 这里的实现是检查所有相关字符串的存在，对于精确距离，可能需要更复杂的逻辑或外部工具辅助。
        // 对于YARA，通常是依靠字符串的出现顺序和数量。
        // 如果需要严格的距离，可以考虑使用YARA的`at`或`in`操作符，但它们通常用于字面量。
        // 对于正则表达式，默认是全局匹配，没有严格的相对距离限制。
        // 因此，这里的条件是确保所有关键部分都存在。
        // 更精确的距离匹配可能需要编写多个规则或在外部脚本中进行后处理。
        // 例如，一个更简单的距离检查是：
        // $gzinflate_literal in (0..200) and $base64_decode_literal in (0..200)
        // 但这仅适用于字面量。对于正则表达式，通常依赖于它们在文件中的出现。
        // 这里的条件是确保所有关键部分都存在，并依赖于YARA扫描器找到它们。
        // 如果需要更严格的顺序和距离，可以尝试在一个大的正则表达式中嵌入所有模式。
        // 例如：/(gzinflate|gzin[\s\W]*?flate).*?(base64_decode|base64[\s\W]*?decode)/
        // 但这可能导致性能问题。
        // 因此，目前的条件是检查所有组件的存在性，作为一种折衷。
        true // 占位符，表示所有组件都已通过上述AND条件检查
}