PE文件加壳检测
我想知道 Peid exe 工具或 protectedid 等检测器如何检测 pe 文件的加壳/保护。我想当程序打包时可能会有一些常量值，但我不太清楚。有人可以解释一下它到底是如何工作的吗？在 OllyDbg 或其他类似的调试器中显示它的最佳方式。对我来说，这些程序如何检测到这一点真是一个谜。
预先感谢您的任何帮助！
I want to know how detectors like Peid exe tools or protectid detect the packer/protection of pe files. I thought maybe some constant values when a program is packed, but i dont know well. Can someone explain me how that exactly works, the best way showing it in OllyDbg or other Debugers like that. Its a real mystery for me how those programs can detect that.
Thanks in advance for anything!
如果你对这篇内容有疑问，欢迎到本站社区发帖提问 参与讨论，获取更多帮助，或者扫码二维码加入 Web 技术交流群。
绑定邮箱获取回复消息
由于您还没有绑定你的真实邮箱，如果其他用户或者作者回复了您的评论，将不能在第一时间通知您！
发布评论
评论（1）
大多数这些工具都是基于签名的，并带有一些额外的启发式方法。检测编译器也是如此（通过检测编译器启动代码和其他签名）。检测编译器比检测保护器更容易，因为大多数保护器都会改变对打包应用程序进行解密/解压缩的代码部分。
Most of these tools are signature based with some additional heuristics in place. Same goes for detecting compilers (by detecting compiler startup code and other signatures). It's even easier to detect compiler then protectors since most protectors are morphing the part of code that does decryption/decompression of packed application.