1 Yara本体安装

1.1 从github下载源码

https://github.com/VirusTotal/yara/releases

tar -zxf yara-4.0.0.tar.gz
cd yara-4.0.0

1.2 安装依赖

sudo apt-get install automake libtool make gcc pkg-config
sudo apt-get install flex bison

1.3 安装本体

./bootstrap.sh
./configure
make
sudo make install

其实可以直接apt install yara但是源码安装能增加一些插件模块

2 插件安装

2.1 自带插件种类

自带的默认安装即可使用（用apt 或者./configure不加参数）

上面安装第三步加参数即可使用这些插件./configure --enable-<模块名称>，如下

./configure --enable-cuckoo
./configure --enable-magic
./configure --enable-dotnet
./configure --enable-cuckoo --enable-magic --enable-dotnet

部分插件需要第三方库：

apt-get install libssl-dev
apt-get install libjansson-dev
apt-get install libmagic-dev

2.2 androguard插件

先做完Yara本体安装的前2步，再照着github说明做就行，写的很傻瓜式了
https://github.com/Koodous/androguard-yara
使用，参考文档
http://docs.koodous.com/yara/androguard/
只能命令行用

3 Yara-Python

还没搞懂怎么用python使用第三方yara module，只会基本的安装
终于知道怎么用androguard了，参考3.2源码安装

3.1 pip安装

不用插件就这样安装

pip install yara-python
或者
pip install yara
两者用法都一样，都是import yara
但是部分函数返回值不同

使用如果报错找不到libyara.so：
/usr/local/lib/python3.8/dist-packages/usr/lib/libyara.so 复制到 /usr/lib/

3.2 源码安装 (推荐)

先安依赖：

apt install python-dev

python-yara安装（带androguard）
安装yara的时候按官方文档集成androgurad
之后将yara-python clone下来，再吧yara本体源码放到yara-python文件夹内并重命名为yara

git clone --recursive https://github.com/VirusTotal/yara-python
cp -r yara-4.0.0 yara-python  #将yara本体文件夹复制到yara-python
cd yara-python
mv yara-4.0.0 yara

build时加上参数--enable-cuckoo

python setup.py build --enable-cuckoo
sudo python setup.py install

3.3 使用注意

modules_data (dict) – Dictionary with additional data to modules. Keys are module names and values are bytes objects containing the additional data.

要在match函数加modules_data参数，格式为字典，key就是androguard，value是 二进制数据（open函数用rb）
json内容就是androguard源码readme里面下载的report-json

json_obj = io.open(json_file_path, "rb").read() 
matches = rules.match(file, modules_data={"androguard": json_obj})

4 官方文档

yara官方：https://yara.readthedocs.io/en/stable/index.html
koodous官方(androguard)：http://docs.koodous.com/yara/androguard/