Анализатор PE/EXE

Что показывает инструмент

Загрузите любой PE-файл Windows — .exe, .dll, драйвер .sys или любой файл с заголовком MZ/PE — и инструмент полностью разбирает его в браузере, как это делает objdump -x, показывая:

• Заголовок COFF: целевую архитектуру, число секций, время сборки и характеристики файла (исполняемый, DLL, поддержка больших адресов и др.).
• Необязательный заголовок: сигнатуру PE32 или PE32+, точку входа, базовый адрес образа, подсистему (консоль, GUI, нативная, EFI…) и флаги характеристик DLL (ASLR, DEP/NX, Control Flow Guard и др.).
• Заголовки секций: имя, виртуальный адрес и размер, смещение и размер в файле, характеристики (код, инициализированные данные, исполняемая, доступная для записи…).
• Каталоги данных: какие из 16 стандартных каталогов (таблица экспорта, таблица импорта, таблица ресурсов, TLS, конфигурация загрузки и др.) действительно присутствуют, с их RVA и размером.
• Импорт: каждую DLL, от которой зависит файл, и функции, которые он берёт из неё — импортированные по имени или, если доступен только ординал, честно показанные как «ordinal N», а не угаданные.
• Экспорт: функции, которые этот файл предоставляет другим, с ординалами и RVA, если присутствует таблица экспорта (у большинства DLL она есть).
• Ресурсы: присутствующие типы ресурсов верхнего уровня (значки, информация о версии, манифесты, диалоги и др.) и количество именованных/локализованных записей под каждым — инструмент перечисляет структуру каталога ресурсов, но не декодирует содержимое отдельных ресурсов.

Для чего это нужно

Проверьте, с чем на самом деле линкуется скачанный .exe или .dll, прежде чем его запускать, узнайте, какие меры защиты (ASLR, DEP, CFG) встроены в файл, убедитесь, что DLL экспортирует нужные функции, или изучите внутреннее устройство PE без установки Visual Studio или binutils.

Конфиденциальность

Всё выполняется локально в браузере на JavaScript. Выбранный файл никуда не отправляется.