자 료 실
유틸리티 PE Anatomist 0.2.12224.1953 - PE 해부
2023.10.29 10:56
PE Anatomist를 사용하면 PE 파일 내의 대부분의 데이터 구조를 탐색할 수 있을 뿐만 아니라 일부 분석도 생성할 수 있습니다.
PE Anatomist는 PE 파일 내부의 알려진 모든 구조를 볼 수 있도록 설계된 경량 소프트웨어입니다. Portable Executable 형식은 32비트 또는 64비트 실행 파일, 개체 코드, DLL 등에 사용됩니다. 이러한 구조에는 헤더, 섹션, COFF 기호, 가져오기, 내보내기, 리소스, 바인딩된 가져오기, 지연된 가져오기, 기본 재배치, PE Authenticode 시그니처, 디버그, 로드 구성 디렉터리, 리치 시그니처, TLS, 예외 데이터, .NET 등이 있습니다.
헤더 및 데이터 구조 구문 분석:
- IMAGE_DOS_HEADER, IMAGE_FILE_HEADER, IMAGE_OPTION_HEADER, IMAGE_OPTION_HEADER64 및 일부 필드에 대한 추가 정보가 포함된 데이터 디렉토리 목록
- COFF 기호 표
- 섹션 테이블, 긴 섹션 이름 지원(심볼 테이블을 통해) 및 엔트로피 계산
- 가져오기 테이블(MS 스타일 이름 디매글링 지원)
- 바인딩된 가져오기 테이블
- 지연된 가져오기 테이블
- 추가 정보가 있는 테이블 내보내기
- 여러 리소스 유형에 대한 추가 정보와 모든 유형에 대한 상세 보기가 있는 리소스 테이블
- 기본 재배치 테이블. 모든 지원 아키텍처에서 사용 가능한 대상 주소 결정 및 해석. 가져오기, 지연 가져오기, 내보내기, loadconfig 디렉토리로부터의 테이블, ANSI, UNICO 문자열을 감지합니다.
- PE Authenticode Signature에 대한 간략한 정보
- SEH, GFID, 디코딩된 CFG 비트맵, GIAT, Guard LongJump, CHPE 메타데이터, 동적 값 재배치 테이블, 엔클레이브 구성, 휘발성 메타데이터 테이블 구문 분석 및 일부 필드에 대한 추가 정보
- Debug Directory. CODEVIEW, POGO, VC FEATURE, REPO, FPO, EXDLL 특성, SPGO debug type의 내용을 파싱합니다
- 일부 필드에 대한 추가 정보가 포함된 TLS 구성 및 콜백 테이블
- 예외 데이터 테이블. x64(EPILOG 해제 코드가 있는 버전 2 포함), arm, arm64, ia64 아키텍처가 지원되며, x64를 위한 해제 데이터 체인, 언어별 핸들러 데이터(C Scope, C++ FuncInfo, C++ EH4, C++ DWARF LSDA) 및 해제 데이터의 16진수 보기
- 부분 .NET 디렉토리 파싱 : IMAGE_COR20_HEADER, CORCOMPILE_HEADER, READYTORUN_HEADER 일부 필드에 대한 추가 정보 제공
- 사용된 도구, 수행 중인 작업, 도구의 전체 버전 및 도구가 속한 VisualStudio 버전을 나타내는 Decode Rich 서명
- IAT표내용
- VB5 및 VB6 일반 구조: 프로젝트 정보, DLLC 호출-가져오기, 참조된 모듈 및 개체 테이블
- FLC - 파일 위치 계산기
- 설정 표시 및 목록의 열에 따라 정렬
- 외부 DLL 파일을 통한 프로그램 인터페이스 현지화(러시아어 및 영어 옵션 사용 가능)
- 탐색기의 상황에 맞는 메뉴 통합
- 국가 유니코드 기호의 문자열 디코딩(키릴 형식 CP1251 사용 가능)