PEAnatomist - внутренности PE-файлов

Обновление программы до версии 0.2.8 Final (2022-03-05):

• Добавлено отображение информации о IMAGE_DEBUG_TYPE_BBT (Basic Block Transformation)
• Исправлена ошибка разбора заголовка CORCOMPILE_HEADER для .NetFramework 4.6 - 4.6.2
• Добавлена поддержка IMAGE_FILE_MACHINE_POWERPCBE (Xbox 360, только несжатые PE)
• Добавлена поддержка IMAGE_REL_BASED_HIGHADJ
• Исправлен ряд ошибок

Сайт программы # Подробнее об изменениях # Скачать новую версию

 

Вообще, надо бы какой-то еще PE- парсер попробовать потом, интерфейс PEBear'а как-то совсем не нравится.

 

Обновление программы до версии 0.2.9 Final Fix1 (2022-03-15):

• Исправлена ошибка отрисовки графика энтропии на Windows 7 и новее

Сайт программы # Подробнее об изменениях # Скачать новую версию

 

Обновление программы до версии 0.2.10 Final Fix2 (2022-04-16):

• Исправлена ошибка отображения данных из таблиц UnwindInfo CxxFH3 для ARM7
• Исправлены CodeView-символы S_DEFRANGE_CONSTVAL_ON_ENTRY и S_DEFRANGE_GLOBALSYM_ON_ENTRY из VS2022 17.2Pre3
• Устранена утечка GDI-объектов при одновременном использовании более одного диалога настройки колонок ListView

Сайт программы # Подробнее об изменениях # Скачать новую версию

 

RamMerLabs, случайно не знаешь, есть ли гарантии, что ординалы имён в таблице экспортов будут отсортированы по-возрастанию? Можно ли на это полагаться при парсинге?

 

Если речь о массиве IMAGE_EXPORT_DIRECTORY.AddressOfNameOrdinals, то спецухой предусмотрена сортировка - для быстрого поиска по ординалу в случае отсутствия имени экспортируемого символа. Однако, если имя есть, то вполне можно обойтись без поиска и в отдельных интересных случаях сортировка может быть проигнорирована.
Я бы перед использованием убедился в возрастании индексов и/или сделал бы принудительную сортировку на копии массива, если это критично.

 

Да, о нём. Перебираю экспорты и думаю, как быстро, желательно за константное время, определить, есть ли у функции имя, и получить его.
И такой способ существует только если есть гарантия, что ординалы отсортированы. Если же нет - остаётся только линейный поиск (если не выделять память под отсортированный массив).
Сортировка имён в спеках прописана явно, а вот насчёт сортировки ординалов - в спеках не нашёл (и не уверен, должна ли отсортированность ординалов следовать из отсортированности имён - скорей всего не должна).

 

Вы правы, явно указана сортировка индексов (называемых иногда "hint" по аналогии с импортом) в массиве имён. Признаюсь, никогда не заморачивался с признаком сортировки ординалов, т.к. обычно использую собственную копию данных, чаще в виде хеш-таблиц или деревьев.

Ну тогда наверное остаётся ввести свойство\признак\флаг "отсортированности" массива ординалов, проверяя на возрастание индексов при загрузке файла и в зависимости от значения флага выполнять поиск перебором (в худшем случае) или бинарный.

 

Обновление программы до версии 0.2.11 Final Fix3 (2022-05-18):

• Исправлена ошибка перечисления символа IMAGE_DYNAMIC_RELOCATION_FUNCTION_OVERRIDE в таблице DVRT
• Добавлена отдельная страница для содержимого символа IMAGE_DYNAMIC_RELOCATION_FUNCTION_OVERRIDE в таблице DVRT (бэкпорт из 0.3.10516.1931)

Сайт программы # Подробнее об изменениях # Скачать новую версию

 

Обновление программы до версии 0.2.10712.2124 (2022-07-12):

• Устранена редкая ошибка обращения к памяти вне выделенного буфера во время распознавания типа обработчика исключений для отдельных PE
• Устранена ошибка чтения директории IMAGE_DIRECTORY_ENTRY_DEBUG и заголовка метаданных dotNet вне выделенных буферов в некоторых искажённых PE

Сайт программы # Подробнее об изменениях # Скачать новую версию

 

Обновление программы до версии 0.2.10913.2121 (2022-09-13):

• Актуализированы список секций и значения флагов заголовков Ready2Run из dotnet 7
• Исправлена ошибка перечисления сигнатур в таблице ImportSections для Ready2Run и NGEN

Сайт программы # Подробнее об изменениях # Скачать новую версию

 

RamMerLabs не планируете добавить вкладку с дизассемлированным кодом? Очень не хватает.

 

Да, запили уже нам аналог IDA Pro в своей тулзе, а то очень не хватает. И декомпилятор не забудь нормальным сделать, а не как у Ильфака.

 

Rel Ну мне просто Detect It Easy не нравится, Hiew не пользуюсь, PEAnatomist нравится, пользуюсь достаточно регулярно, но порой не хватает диза, чтобы быстро глянуть. А в иду бинарь тащить это ждать драгоценные минуты пока там все проанализируется и pdb скачаются.

 

Доброго дня! Рад, что моя программа оказалась полезной!
Диз для x86/x64/arm64 планируется в версии 0.3, скорее всего пока на основе Capstone. По срокам никакой определённости.

 

Обновление программы до версии 0.2.11108.2330 (2022-11-08):

• Исправлена ошибка определения RVA символов из таблицы COFF-символов в PE, собранных компоновщиками из VS4-6 и некоторыми версиями GNU-инструментов

Сайт программы # Подробнее об изменениях # Скачать новую версию

 

RamMerLabs, софт норм что развивается, но PE Explorer + CFF Explorer конечно лучше, без обид. Раз уж "анатомист" - то должна быть возможность "ковырять" файлы, т.е. менять/добавлять импорт, точку входа и т.д.

 

Анатомия это вроде не про изменение объекта, а про строение. По-моему название тулзы морфологически корректное и соответствует ее функциональности на текущем этапе.

 

Не бери в голову, он просто пытается генерировать посты, от которых есть толк, но у него пока очень плохо выходит...

 

Я посты не генерирую. А просто сделал предложение.

--- Сообщение объединено, 15 ноя 2022 ---

RamMerLabs, Советую сделать поддержку плагинов еще, чтоб можно было прикрутить, что вы не успеваете, вот и всё что я советовал. Не понимаю неприязнь ко мне, но в этой теме мы это обсуждать согласно правилам не будем.