Как программно определить на чем написана программа

kosfz

А можно по-подробнее про System.Initialization?



Идея в общих чертах такова: любая программа, написанная на Дельфи, содержит функции (может быть не все) из модуля system.pas. Я нашел две характерные функции, однозначно определяющие версию - HandleFinally и System.Initialization.

Сканируешь программу (код модуля system идет в начале) на предмет нахождения ассемблерного текста HandleFinally и System.Initialization для разных версий Дельфи. По совпадению определишь версию. Только не забудь, что не все байты надо сравнивать!

 

crypto

Ну что не все байты сравнивать надо - это и ежу понятно. Обязательно попробую.

valterg

По поводу того, что PEiD работает, а PETools показывает unknown - это конечно неприятно, но я тут с помощью своего SignMan'а для 5 файлов получил 2 сигнатуры для Delphi 6-7 и проверил на 20 с лихом файлах и во всех все определилось правильно, причем мои сигнатуры совпадают с предложенными только в начале, а дальше совершенно все разное(между собой отличаются только в одном месте). Ну не может же быть такого, чтобы у меня здесь, а у него там все такое разное - это же невозможно. Должно быть какое-то разумное объяснение, как считаешь?

Всем

Может помимо сравнения сигнатур есть еще какой-то способ определить на чем написана программа? Откликнитесь, если кто знает! А может самому все сигнатурки получить и потом потестить, но автор пишет что программа-то протестина, видать фигово. В 1.txt сигны для Delphi 6-7 попробуйте проверить их, мне нужно знать результат(поставьте их самыми первими в Signs.txt).

651440380__1.txt

 

kosfz

Видимо, сигнатуры подобраны не очень корректно.

 

Можно ещё определять по сообщению, которое выводит DOS Stub. Способ не очень хороший, но производителя линкера определить можно (даже визуально, открыв в блокноте).

Для Microsoft - это "This program cannot be run in DOS mode", для Borland - "This program must be run under Win32".

Некоторые трояны вообще ничего не выводят .

 

Можно ещё определять по сообщению, которое выводит DOS Stub. Способ не очень хороший, но производителя линкера определить можно (даже визуально, открыв в блокноте).

Для Microsoft - это "This program cannot be run in DOS mode", для Borland - "This program must be run under Win32".

Некоторые трояны вообще ничего не выводят .

 

Много информации дает анализ стартапного кода.

 

версию delphi можно определить по ресурсам там есть подпись
точнее не помню

кроме того в зависимости от установок компилятора , например оптимизации и выравнивания сигнатуры могут быть разными - я не проверял , но это очевидно

 

Сигнатуры это и есть байты с EP

 

Вообщем пообщался я с вами, подсказали вы мне и т.д. Всем спасибо! Вот написал программку, конечно не PEiD и не PETools, но тоже не че так. Если кто качнет то напишите пожале что понравилось, что нет. Может у кого-нибудь будут предложения по далнейшему развитию(что добавить или еще что-нибудь). Если что пишите на kosfiz@mail.ru. Ссылка на PEiN:kosfiz.narod.ru/downloads/PEiN.rar и на прогу чтоб сигны стряпать kosfiz.narod.ru/downloads/SignManForPEiN.rar

 

2staier
Код, встраиваемый из vcl, остается без изменения.

 

kosfz
взгянул я мельком, ну что можно сказать, скорость сканирования маленькая...
+ я думаю, что в проге ты работал со строками, а от этого надо избавляться -
надо работать с сигнами как с посл. байт, ну дизайн, конечно же не ахти =)
а вообще (т.к. ты тоже пишешь на дельфи) посмотри мой анализатор (может что-нибудь почерпнёшь),
Detect it Easy 0.57 и SCANiT! 1.85 от Guru.eXe ссылку давай не буду (чтобы не было рекламы), если надо
сам найдёшь =) а я в свою очередь от помощи не откажусь, если конечно у тебя
будет желание.

 

_hxxp://treinerov.net/filearhiv/guru_files/tport/PE_Detector_0.1_Source_Guru.eXe_tPORt.zip
Тут сорец опэнсорс анализатора от Guru.eXe (Дельфи)

 

6aHguT
за ссылочку спасибо!