-
-
[讨论]PEID该升级了
-
发表于: 2012-7-29 21:04
-
使用了这么长时间PEID，发现一个严重问题，一般我们都会认为PEID是根据userdb.txt签名来识别加了哪种壳的，但是我遇到好几次这样的问题，发现PEID有时候会对加了壳的文件误报为
Microsoft Visual C++ 6.0
下面是heXer提供的PE签名
[* iPB Protect 0.1.3 - 0.1.7 -> forgot]
signature = 55 8B EC 6A FF 68 4B 43 55 46 68 54 49 48 53 64 A1 00 00 00 00
ep_only = true
PEID就是无法正确识别！！！老报为Microsoft Visual C++ 6.0
我们首先想到可能PEID的userdb.txt签名库中的Microsoft Visual C++ 6.0误报，好，我们来做一个实验，将userdb.txt中的所有Microsoft Visual C++ 6.0签名全部删除，这下该不会误报了吧，可结果呢，气死人，还是报为Microsoft Visual C++ 6.0 ，我晕
连不出名的Stud_PE都能正确识别，PEID该升级了，否则如此瞎报，岂不笑到大牙，终将被淘汰出局
提供几个iPB Protect加壳的文件，有兴趣的可以试下
test
附件原址http://bbs.pediy.com/showthread.php?s=&threadid=10806
或者从作者提供的unpackme.rar 下载最新版本
http://bbs.pediy.com/showthread.php?t=11776&highlight=forgot+V0
Microsoft Visual C++ 6.0
下面是heXer提供的PE签名
[* iPB Protect 0.1.3 - 0.1.7 -> forgot]
signature = 55 8B EC 6A FF 68 4B 43 55 46 68 54 49 48 53 64 A1 00 00 00 00
ep_only = true
PEID就是无法正确识别！！！老报为Microsoft Visual C++ 6.0
我们首先想到可能PEID的userdb.txt签名库中的Microsoft Visual C++ 6.0误报，好，我们来做一个实验，将userdb.txt中的所有Microsoft Visual C++ 6.0签名全部删除，这下该不会误报了吧，可结果呢，气死人，还是报为Microsoft Visual C++ 6.0 ，我晕
连不出名的Stud_PE都能正确识别，PEID该升级了，否则如此瞎报，岂不笑到大牙，终将被淘汰出局
提供几个iPB Protect加壳的文件，有兴趣的可以试下
test
附件原址http://bbs.pediy.com/showthread.php?s=&threadid=10806
或者从作者提供的unpackme.rar 下载最新版本
http://bbs.pediy.com/showthread.php?t=11776&highlight=forgot+V0
[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
PEID又不是光调用userdb文件，它还有内置的特征库，不信你把userdb.txt删掉照样能查壳，而且优先使用内置的，这个壳的特征码正好符合内置特征码中的Microsoft Visual C++ 6.0，这不能怪它
 你懂的 |
|
|
|
|
|
[QUOTE=Kisesy;1091094]PEID又不是光调用userdb文件，它还有内置的特征库，不信你把userdb.txt删掉照样能查壳，而且优先使用内置的，这个壳的特征码正好符合内置特征码中的Microsoft Visual C++ 6.0，这不能怪它
你懂的[/QUOTE] 的确，PEID自身脱壳后有个内置特征码，和exeinfope一样只看到壳名，看不到签名，如果有外部调用能让用户可以添加签名就好了 不过，我发现一个有趣的现象，这个壳不光和Microsoft Visual C++ 6.0特征码一样，和穿山甲的壳也一样 [Armadillo v1.71 -> Silicon Realms Toolworks] signature = 55 8B EC 6A FF 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 64 89 25 ep_only = true  我自己用的PEID不知道是用哪个UPX变形壳加的，一直无网不胜的UPXUnPacKer.V0.3.exe居然脱不掉，用PE EXPLORER自带的脱变形壳的插件，这次也不行了
|
|
|
|
|
|
|
