YARA在OpenBSD上使用LibreSSL时的PE签名验证问题分析

问题背景

YARA作为一款强大的模式匹配工具，在恶意软件分析和分类中发挥着重要作用。近期在OpenBSD系统上构建YARA 4.5.1版本时，测试套件中出现了PE模块相关的验证失败问题。本文将深入分析这一问题，并探讨解决方案。

问题现象

在OpenBSD current/amd64系统（未来7.6版本）上构建YARA 4.5.1时，虽然编译过程顺利完成，但在运行make check测试时出现以下错误：

tests/test-pe.c:390: rule does not match contents of 'tests/data/079a472d22290a94ebb212aa8015cdc8dd28a968c6b4d3b88acdd58ce2d3b885' (but should)

该错误表明PE签名验证测试未能通过预期检查，具体涉及PE文件的数字签名链长度验证。

根本原因分析

经过多次测试和验证，发现问题主要出现在以下两个条件判断上：

1. PE签名链长度验证：pe.signatures[0].signer_info.length_of_chain == 2
2. 计数器签名链长度验证：pe.signatures[0].countersignatures[0].length_of_chain == 2

进一步调查发现，这一问题与OpenBSD默认使用的LibreSSL加密库有关。LibreSSL是OpenBSD团队从OpenSSL分支出来的项目，虽然两者功能相似，但在某些实现细节上存在差异，特别是在处理PE文件数字签名验证时表现不同。

解决方案

针对这一问题，我们有以下两种解决方案：

方案一：修改测试用例

考虑到LibreSSL和OpenSSL在PE签名验证上的行为差异，可以调整测试用例中的验证条件，使其兼容LibreSSL的实现方式。这种方法不需要改变系统配置，但需要深入了解两种SSL实现的具体差异。

方案二：使用OpenSSL替代LibreSSL

在OpenBSD系统上，可以通过以下步骤使用OpenSSL替代默认的LibreSSL：

1. 安装OpenSSL 3.1.6或更高版本
2. 配置YARA构建环境，指定使用OpenSSL的头文件和库文件路径
3. 设置运行时库路径

具体构建命令如下：

./configure --enable-cuckoo --enable-magic --enable-dex --enable-macho --with-crypto \
    CPPFLAGS=-I/usr/local/include/eopenssl31 \
    LDFLAGS=-L/usr/local/lib/eopenssl31

测试时需要设置LD_LIBRARY_PATH环境变量：

LD_LIBRARY_PATH=/usr/local/lib/eopenssl31/ make check

技术建议

对于需要在OpenBSD上使用YARA进行PE文件分析的用户，建议：

1. 如果系统环境允许，优先考虑使用OpenSSL方案，这能确保与大多数Linux环境的行为一致
2. 如果必须使用LibreSSL，需要针对性地调整PE签名验证规则，避免依赖特定SSL实现的细节
3. 在编写跨平台的YARA规则时，尽量避免依赖签名链长度等可能因SSL实现而异的条件

总结

YARA在OpenBSD上的PE签名验证问题揭示了不同SSL实现在安全验证细节上的差异。通过本文的分析和解决方案，用户可以根据自身需求选择最适合的配置方式。这也提醒我们，在开发跨平台的安全分析工具时，需要特别注意底层加密库实现差异可能带来的影响。