mac反编译工具_黑莓开源逆向工程工具 PE Tree，降低逆向复杂度

黑莓方面宣布推出一个新的开源工具“PE Tree”，旨在减少逆向工程恶意软件所需的时间和精力。该公司表示，PE Tree 使得逆向工程师可以使用 pefile 和 PyQt5 在树状视图中查看可移植可执行（Portable Executable，PE）文件，从而降低了从内存中转储和重建恶意软件的门槛，同时提供了社区可以建立的开源 PE 查看器代码库。

• 软件类型：反编译工具
• 授权协议：Apache
• 开发语言：Python

特性

• 独立应用程序和 IDAPython 插件
• 支持 Windows / Linux / Mac
• Rainbow PE 比例图：
  • PE 结构，大小和文件位置的高级概述
  • 可以快速直观地比较 PE samples
• 在树视图中显示以下 PE headers：
  • MZ headers
  • DOS stub
  • Rich headers
  • NT/File/Optional headers
  • Data directories
  • Sections
  • Imports
  • Exports
  • Debug information
  • Load config
  • TLS
  • Resources
  • Version information
  • Certificates
  • Overlay

• 从以下位置提取并保存数据：
  • DOS stub
  • Sections
  • Resources
  • Certificates
  • Overlay

• 发送数据到 Cyber​​Chef
• VirusTotal 搜索：
  • File hashes
  • PDB path
  • Timestamps
  • Section hash/name
  • Import hash/name
  • Export name
  • Resource hash
  • Certificate serial

• 独立应用程序；
  • Double-click VA/RVA to disassemble with capstone
  • 十六进制转储数据

• IDAPython 插件：
  • 轻松浏览PE文件结构
  • Double-click VA/RVA to view in IDA-view/hex-view
  • 在IDB中搜索内存中的PE文件；
    • 重建进口（IAT + IDT）
    • 转储重建的 PE 文件
    • 在 IDB 中自动注释 PE 文件结构
    • 在 IDB 中自动标记 IAT 偏移量

PE Tree 还与 HexRays 的IDA Pro 反编译器集成在一起，从而可以轻松导航 PE 结构，以及转储内存中的 PE 文件并执行导入重建， 在识别和阻止各种恶意软件方面至关重要。

该工具采用 Python 开发的，并支持Windows、Linux 和 Mac 操作系统。它可以作为独立应用程序或 IDAPython 插件安装和运行，从而使用户可以检查任何可执行的 Windows 文件并查看其组成。

图 1 独立应用程序

图 2 IDAPython 插件

使用 Ero Carrera 的 pefile 模块分析 PE 文件，然后再映射到树视图中。在那里，用户可以查看 headers 的摘要，包括 MZ header、DOS stub、Rich headers、数据目录等。

此外，左侧的“rainbow view”提供了 PE 文件结构的高级概述，并传达了每个区域的 offset/size/ratio。用户可以单击每个区域以跳至树状视图，或者单击鼠标右键以保存到文件或导出到 Cyber​​Chef。

更多信息：PE Tree首页、文档和下载 - 逆向工程工具 - OSCHINA