PeStudio如何分辨32和64动态库静态库

最新推荐文章于 2021-11-02 22:28:04 发布
最新推荐文章于 2021-11-02 22:28:04 发布
阅读量672 收藏
点赞数
文章标签： PeStudio Machine File-Heade 32 64
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/oncealong/article/details/50478310
版权

打开PeStudio,选择你要检查的dll,选择File Header,其中Machine字段表示可执行文件的目标CPU类型：

IMAGE_FILE_MACHINE_I386 0x014c x86
IMAGE_FILE_MACHINE_IA64 0x0200 Intel Itanium
IMAGE_FILE_MACHINE_AMD64 0x8664 x64
PeStuodio id="tmp_downloadhelper_iframe" style="display: none;">

参考文章:http://www.cnblogs.com/hbccdf/p/dllchecktoolandsyswow64.html

oncealong
关注
逆向知识点
qq_42021840的博客
01-18 972
PE 如何判断PE是DLL还是EXE FileHeader.Characteristics EXE:010F(H) DLL:210(H) 如何判断PE是32位还是64位 imageNtHeaders.FileHeader.Machine 32 IMAGE_FILE_MACHINE_I386 64 IMAGE_FILE_MACHINE_IA64 IMAGE_FILE_MACHINE_AMD64 imageNtHeader...
滴水三期逆向基础系列(番外)-判断PE文件是否为64位
henuyl的博客
04-28 423
BOOL is64Bit = is64BitOS(FilePath_In); BOOL is64BitOS( IN LPSTR lpszFile ){ LPVOID pDemoBuffer = NULL; ReadPEFile(lpszFile, &pDemoBuffer); PIMAGE_DOS_HEADER idh = NULL; PIMAGE_NT_HEADERS i...
静态恶意软件分析工具 pestudio pro v9.26
11-05
PeStudio 是一款用于静态分析恶意软件的工具，也是我最喜欢的恶意软件分析工具之一
PE文件格式详细解析(二)
weixin_47754894的博客
11-02 1701
3.PE文件的结构 3.2 NT头 由一个IMAGE_NT_HEADERS结构组成，该结构中包含了PE文件被载入内存时需要用到的重要域。通过DOS header中的e_lfanew，可以直接定位到真正的PE Header部分。该结构体的大小为0xf8字节。 typedef struct _IMAGE_NT_HEADERS { DWORD Signature; //PE签名 IMAGE_FILE_HEADER FileHeader; //PE头 IMAGE_OPTIONA
PeStudio Pro 9.58
最新发布
05-26
本帖最后由 ceciliaaii 于 2024-4-27 16:01 编辑 PEStudio简介 PEstudio 是一款功能强大的可执行文件分析工具，可用于逆向工程和恶意软件分析。它被世界各地的计算机响应小组和实验室使用来执行恶意软件的初步评估。PEstudio基于基础的解析器和一组XML配置文件构建，这些配置文件用于检测各种指标和分类项。由于正在分析的文件永远无法启动，因此您可以直接检查可执行文件（例如安全特洛伊）木马、勒索软件和RAT），而无需担心感染您的计算机。PEstudio 的一些功能包括： 查看和编辑PE文件头 查看和编辑PE文件任选头部 查看和编辑PE文件节 查看和编辑PE文件节内容 反编译PE文件代码 识别已知的 API 调用和数据结构 搜索字符串和字节模式 将PE文件导出为各种格式 PEstudio的常见用途包括： 分析恶意软件 逆向工程实际文件 调试执行文件 创建自定义PE文件资源程序 研究PE文件格式 PEstudio的优点： 功能强大且使用方便 支持广泛的PE文件格式 定期更新新功能和签名 拥有活跃的社区和大量支持资源
PeStudio 编程辅助软件 v8.66
11-28
PeStudio是一款专为开发者、测试员和系统维护及分析人员设计的强大工具，它主要用于应用程序的验证工作，尤其在64位处理能力和数据执行保护（DEP）方面表现出色。在当今的软件开发环境中，了解并利用这些特性至关...
pestudio_8.99.rar
01-20
The goal of pestudio is to spot artifacts of executable files in order to ease and accelerate Malware Initial Assessment. The tool is used by Computer Emergency Response (CERT) teams, Security ...
PeStudio v3.45
11-01
PeStudio 可以深入解析PE（Portable Executable）文件格式，这是Windows操作系统中用于存储可执行程序和动态链接库的格式。它提供了一个友好的用户界面，展示关于PE文件的详细信息，如导出和导入函数、资源、版本...
学破解 <二> PE格式之IMAGE_NT_HEADERS
王意林的专栏
03-09 2386
这个IMAGE_NT_HEADERS其实就是PE相关结构的映像头，NT据我揣测应该是New Technology的缩写，区分于DOS WIN9X的新技术，您老要是非觉得是NTR什么的也没关系。 IMAGE_NT_HEADERS的结构是这个样子的 IMAGE_NT_HEADERS STRUCT { +0h DWORD Signature +4h IMAGE_FILE_HEA
3.PE文件之标准PE头(IMAGE_FILE_HEADER)
kernelhack
10-25 5000
标准PE头IMAGE_FILE_HEADER紧跟在PE标记后,即IMAGE_NT_HEADERS.Signature + 4的位置.由此位置开始的20个字节为数据结构标准PE头IMAGE_FILE_HEADER的内容. 该结构在微软的官方文档中被称为标准通用对象文件格式(Common Object File Format COFF)头.它记录了PE文件的全局属性,如该PE文件运行的平台、PE文件类型(EXE / DLL)、文件中存在的节的总数等. IMAGE_FILE_HEADER 结构及成员含义如下
pestudio-cli:用于分析PE文件中恶意软件使用的模式的Python工具
05-11
pestudio-cli 目标 我们的目标是实现基于python的命令行工具，该工具可用于检查PE文件是否存在已知的恶意模式。 因此，我们 将文件提交给VirusTotal并将结果摘要呈现给用户 将PE文件与已知恶意程序的签名匹配（签名是从PEStudio导入的）。 目前，这些是包装工的签名 检查二进制文件是否使用列入黑名单的库/导入 检查可疑资源 检查二进制字符串以查找列入黑名单的值 显示各种信息并突出显示与PE文件有关的异常，例如PE标头（将来的时间戳），TLS回调或重定位 检查PE文件中是否存在100多个功能。 最重要的是，我们检查各种可疑值，其中包括高熵，已知的漏洞，入口点地址，段，标头，数据等异常。 通过调用yara-python库（如果已安装）来包括对yara规则的支持 我们支持多种输出格式，并使输出结果高度可配置： 许多选项可用于指定应执行的分析 输出包含所需信息的xm
PE格式详细讲解【02】– IMAGE_FILE_HEADER 结构
u011513939的博客
06-20 2369
PE Header 是PE相关结构NT映像头（IMAGE_NT_HEADER）的简称，里边包含着许多PE装载器用到的重要字段。下边将为大家详细讲解哈~ 首先是IMAGE_NT_HEADERS 结构的定义：（啥？结构不会，先看看小甲鱼童鞋的《零基础入门学习C语言》关于结构方面的章节吧~） IMAGE_NT_HEADERS STRUCT { +0h DWORD Signature
PE文件头
满天星专栏
10-20 2326
大体上，PE文件由下面几个部分组成，DOS头，PE头，可选头，节表，以及各节的数据。这些数据结构在文件中的位置如下图所示。 PE文件的第一部分是一个DOS头，一般我们称之为DOS STUB。 这个DOS头实际上就是一个完整的DOS应用程序。这样当你在DOS下试图运行这个程序的时候，DOS将会把它识别成一个DOS可执行程序。一般这个DOS STUB会在屏幕上打印一条信息“该程序需要W
深入剖析PE文件
qiqi5045的专栏
07-09 496
本文有一些过于文字化，适合已对PE有一些了解的童鞋。 如果是初学者,博主推荐:有兴趣的童鞋可以看看这个链接，用实例解释了PE文件的结构,更清晰明了。 http://www.mouseos.com/assembly/06.html。 一、 基本结构.  PE 文件的基本结构.(注意: DOS MZ Header 和部分 PE header 的大小是不变的; DOS stub 部分的大小是
谈谈PE和ELF结构中的那些小事
KD的疯狂实验室
07-13 2503
如何区分32bit和64bitPE文件？PE结构中如何告诉系统是否需要动态基址？PE中如何区分dll和exe？......
恶意代码分析-工具收集
weixin_30274627的博客
01-11 2320
恶意代码分析-工具收集 恶意代码分析实战 Strings：字符串查找工具 https://docs.microsoft.com/zh-cn/sysinternals/downloads/strings Resource Hacker工具：查看资源节内容 http://www.angusj.com 恶意软件自动化分析工具套件 恶意软件分析套件：https://github.com/Cher...
通过解析PE格式来判断程序是x86或x64
拉塞尔的博客
11-22 987
方法一：通过OptionalHeader.Magic判断 //传参为文件完整路径 int SeIsX64PEFile(WCHAR* ProcessFullPath) { Wow64EnableWow64FsRedirection(FALSE); //禁止重定位！(禁止系统修改文件路径) HANDLE FileHandle = CreateFile(ProcessFu...
MS 调试信息分析（一）
03-15 1811
首先我在这里说明，MS 调试信息的支持其实MS 已经提供了DBGhelp和imagehel 这两个库，当我们如果想更深入的了解调试信息就必须来了解调试文件。我在这里只讨论DBG文件和PDB文件，由于其中的很多信息，MS并没有公开，我也只属于探索阶段，所以错误再所难免。  一般的调式信息由MS提供的一般由两个文件，DBG文件和PDB文件，在NT4。0中没有PDB文件，PDB文件中的信息被保存在DBG
windows PE Image 文件分析
ymzhou117的专栏
03-10 3539
转自：http://www.mouseos.com/windows/PE_image1.html 上面是 windows PE 可执行文件格式的结构图，分为 4 个部分：DOS 文件头、NT 文件头、Section 表以及 Directory 表格。 windows 的 executable image 文件使用的是这种 PE 格式，而 object 文件使用的是 COFF 文件格式。
[PE格式分析] 4.IMAGE_FILE_HEADER
weixin_34342905的博客
08-14 176
源代码如下： typedef struct _IMAGE_FILE_HEADER { +04h WORD Machine; // 运行平台 +06h WORD NumberOfSections; // 文件的区块数目 +08h DWORD TimeDateStamp; // ...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值