如何检测给定 exe 使用的 PE 加壳程序？
我发现了一个似乎已打包的应用程序。 我用一些十六进制编辑器打开它，它包含“UPX1”部分和“3.00 UPX！” 细绳。 不幸的是我无法用最新的 upx 解压它，它说“不是由 UPX 打包的”。 有没有办法找出使用了哪些其他 PE 压缩器/加密器？
I've found an application which seems to be packed. I opened it with some hex editor and it contains "UPX1" section and "3.00 UPX!" string. Unfortunately I'm not able to decompress it with upx latest, it says "not packed by UPX". Is there a way to find out what other PE compressors/crypters were used?
如果你对这篇内容有疑问，欢迎到本站社区发帖提问 参与讨论，获取更多帮助，或者扫码二维码加入 Web 技术交流群。
绑定邮箱获取回复消息
由于您还没有绑定你的真实邮箱，如果其他用户或者作者回复了您的评论，将不能在第一时间通知您！
发布评论
评论（3）
PEiD 是您想要的工具。 它可以检测各种解包程序，尝试解包任何打包的 exe（无论打包方案如何），进行简单的反汇编，检测源代码中存在的加密算法（需要明确的是，不是 exe 的加密方案）等等。 但主要是，它是 exe 的加壳器、加密器和编译器的标识符。
PEiD is the tool you want. It can detect a variety of unpackers, attempt to unpack any packed exe (regardless of packing scheme), do simple disassembly, detect encryption algorithms present in the source code (not the encryption scheme of the exe, to be clear), and more. But primarily, it is an identifier of packers, cryptors, and compilers of an exe.
在许多情况下，打包的可执行文件以启动程序开头，然后是标准 zip 文件。 这是可能的，因为 ZIP 标头位于文件末尾，因此您可以将任意数据添加到 zip 文件中，并且它仍然是 zip 文件。 所以尝试解压它，看看是否有效。
In many cases, a packaged executable starts with the launch program, followed by a standard zip file. This is possible because the ZIP header is at the end of the file, so you can prepend arbitrary data to a zip file, and it remains to be a zipfile. So try unzipping it, and see whether that works.
PEiD 的开发和支持已于 2011 年 4 月停止，但它仍然是可用的最佳工具用于加壳器检测。
您还可以使用 ExeScan。它位于此处
Development and Support of PEiD has been discontinued in April 2011 but it's still the best tool available for Packer detection.
you can also use ExeScan .it is available here