规则系统概览

YARA规则

APKiD 的全部识别能力来自 YARA 规则。本文是规则系统的总入口。

📊 规模一览

规则在 apkid/rules/ 下按 被扫描文件的类型 分目录：

目录	文件类型	规则文件
`apk/`	APK（ZIP）	common, packers, protectors, obfuscators
`dex/`	Dalvik 字节码	common, compilers, packers, protectors, obfuscators, anti-vm, abnormal
`elf/`	原生库/可执行文件	common, packers, protectors, obfuscators, anti-vm
`dll/`	Windows PE DLL	common, obfuscators
`res/`	二进制资源	common, obfuscators, protectors

每个目录下再按 检测类别 拆文件。详见规则文件组织。

每个规则带一个 tag，决定它的 category。主要类别：

详见各类别子页（侧边栏"检测类别"组）。

带 private 的规则 不输出，只被其它规则引用。APKiD 用它封装可复用的结构指纹（如 dx_map_type_order、r8_marker）。带 internal tag + private，确保不污染结果。

APKiD 用 yara-python-dex，带 import "dex" 模块。这让 DEX 规则能访问结构字段（dex.map_list.map_item[i].type 等），做结构级指纹。详见 DEX 编译器。

源 .yara 编译成二进制 rules.yarc（gitignored），运行时只 yara.load() 它。详见编译与发布。