2025年信息系统安全专家YARA规则编写与恶意软件狩猎专题试卷及解析.pdfVIP

2025年信息系统安全专家YARA规则编写与恶意软件狩猎专题试卷及解析1

2025年信息系统安全专家YARA规则编写与恶意软件狩

猎专题试卷及解析

2025年信息系统安全专家YARA规则编写与恶意软件狩猎专题试卷及解析

第一部分：单项选择题（共10题，每题2分）

1、在YARA规则中，用于匹配文件内容的字符串标识符必须以哪个字符开头？

A、$

B、#

C、@

D、%

【答案】A

【解析】正确答案是A。在YARA规则中，字符串标识符必须以美元符号()text=

“malware”。知识点：YARA规则语法基础。易错点：容易混淆字符串标识符($)与规则

标识符(无前缀)的区别。

2、以下哪个YARA条件语句用于检测文件大小超过1MB？

A、filesize1MB

B、size1048576

C、filesize1048576

D、filesize1024KB

【答案】C

【解析】正确答案是C。YARA中filesize关键字用于获取文件大小，单位为字节，

1MB=1048576字节。知识点：YARA元数据与条件语句。易错点：容易忽略YARA中

大小单位的换算关系。

3、YARA规则中的”private”修饰符主要用于什么场景？

A、隐藏规则内容

B、限制规则共享

C、标记规则为测试用

D、设置规则优先级

【答案】B

【解析】正确答案是B。private修饰符用于标记规则为私有，防止在共享规则库时

被意外公开。知识点：YARA规则属性。易错点：容易混淆private与global修饰符的

功能。

4、在恶意软件狩猎中，YARA规则通常与以下哪个工具配合使用进行内存扫描？

A、Volatility

B、Wireshark

2025年信息系统安全专家YARA规则编写与恶意软件狩猎专题试卷及解析2

C、Nmap

D、BurpSuite

【答案】A

【解析】正确答案是A。Volatility是专业的内存取证工具，可以配合YARA规则进

行内存中的恶意软件检测。知识点：YARA工具链集成。易错点：容易混淆网络分析工

具与内存分析工具的用途。

5、以下哪个YARA模块专门用于PE文件分析？

A、pe

B、elf

C、macho

D、hash

【答案】A

【解析】正确答案是A。pe模块专门用于WindowsPE文件的结构分析，包括导入

表、导出表等。知识点：YARA模块系统。易错点：容易混淆不同平台二进制文件对应

的模块名称。

6、YARA规则中的”wide”修饰符主要用于什么？

A、匹配宽字符字符串

B、扩展匹配范围

C、忽略大小写

D、匹配正则表达式

【答案】A

【解析】正确答案是A。wide修饰符用于匹配UTF16编码的宽字符字符串，常见

于Windows恶意软件。知识点：YARA字符串修饰符。易错点：容易混淆wide与ascii

修饰符的适用场景。

7、在YARA规则中，以下哪个运算符用于逻辑”与”操作？

A、

B、and

C、

D、以上都可以

【答案】D

【解析】正确答案是D。YARA支持、and和三种逻辑与运算符，但推荐使

用and提高可读性。知识点：YARA条件语句语法。易错点：容易忽略YARA对多种

运算符形式的兼容性。

8、YARA规则中的”uint16”数据类型表示什么？

A、8位无符号整数

2025年信息系统安全专家YARA规则编写与恶意软件狩猎专题试卷及解析3

B、16位无符号整数

C、32位无符号整数

D、64位无符号整数

【答案】B

【解析】正确答案是B。uint16表