pefile

pefile ist ein plattformunabhängiges Python-Modul zum Parsen und Arbeiten mit Portable Executable (PE) Dateien. Der Großteil der in den PE-Datei-Headern enthaltenen Informationen sowie alle Details und Daten der Abschnitte sind zugänglich.

Die in den Windows-Header-Dateien definierten Strukturen sind als Attribute in der PE-Instanz verfügbar. Die Benennung der Felder/Attribute folgt weitgehend dem in diesen Headern verwendeten Schema. Nur aus Bequemlichkeit hinzugefügte Abkürzungen weichen von dieser Konvention ab.

pefile setzt ein grundlegendes Verständnis des Aufbaus einer PE-Datei voraus – damit ist es möglich, nahezu jede einzelne Funktion des PE-Dateiformats zu erkunden.

Installation

Um pefile mittels pip zu installieren:

pip3 install pefile

Funktionen

Einige Aufgaben, die pefile ermöglicht:

• Untersuchen von Headern
• Analyse von Abschnittsdaten
• Abrufen eingebetteter Daten
• Lesen von Zeichenfolgen aus den Ressourcen
• Warnungen bei verdächtigen und fehlerhaften Werten
• Grundlegende Modifikation von PEs, z. B. Schreiben in einige Felder und andere Teile der PE
  • Diese Funktionalität ordnet die PE-Dateistrukturen nicht neu an, um Platz für neue Felder zu schaffen. Gehen Sie daher vorsichtig damit um.
  • Das Überschreiben von Feldern sollte größtenteils sicher sein.
• Packererkennung mit PEiD-Signaturen
• PEiD-Signatur-Generierung

Bitte beachten Sie die Verwendungsbeispiele für einige Code-Ausschnitte, die die Verwendung von pefile demonstrieren.

Hier sind einige Beispiele, wie ein mit pefile erzeugter Dump für verschiedene Dateitypen aussieht:

• eine gepackte Datei
• kernel32.dll
• TinyPE

Um mit authentifizierten Binärdateien zu arbeiten, einschließlich Authenticode-Signaturen, besuchen Sie bitte das Projekt verify-sigs.

pefile läuft in mehreren Pipelines, die täglich Hunderttausende neuer PE-Dateien scannen, und ist, wenn auch nicht perfekt, im Laufe der Zeit recht robust geworden. Dennoch werden hin und wieder kleine Fehler gefunden. Wenn Sie auf eine PE stoßen, die offenbar nicht korrekt verarbeitet wird, melden Sie dies bitte! Es wird helfen, pefile ein kleines bisschen leistungsfähiger zu machen.

Abhängigkeiten

pefile ist in sich geschlossen. Das Modul hat keine Abhängigkeiten; es ist endian-unabhängig und funktioniert unter Windows, macOS und Linux.

Projekte und Produkte, die pefile verwenden

• Didier Stevens‘ pecheck, ein Werkzeug zur Anzeige von PE-Dateiinformationen, verarbeitet PEiD-Dateien besser als pefile.
• MAEC, eine standardisierte Sprache zur Kodierung und Kommunikation hochgenauer Informationen über Malware basierend auf Attributen wie Verhalten, Artefakten und Angriffsmustern. MAEC konvertiert die Ausgabe von pefile in ihr XML-Format.
• Qiew, ein Hex/Dateiformat-Viewer.
• VirusTotal
• bbfreeze
• pyemu: Download, GitHub, Whitepaper
• Immunity Debugger 1.1
• Cuckoo
• CAPE
• MultiScanner
• PE Tree
• icoextract

Zusätzliche Ressourcen

PDFs von Postern, die das PE-Dateiformat darstellen:

• Portable Executable Format Layout zeigt die vollständige Ansicht der vom PE-Format definierten Header und Strukturen.
• Portable Executable Header Walkthrough zeigt die Rohansicht einer ausführbaren Datei mit den über die entsprechenden Bereiche gelegten PE-Formatfeldern.

Die folgenden Links bieten detaillierte Informationen zum PE-Format und seinen Strukturen.

• corkamis Wiki-Seite über das PE-Format (Archiv) hat sich zu einem der tiefgründigsten Wissensspeicher zum PE-Format entwickelt.
• corkamis Schatzkammer der PE-Kuriositäten
• Ein detaillierter Blick in das Win32 Portable Executable Dateiformat
• Ein detaillierter Blick in das Win32 Portable Executable Dateiformat, Teil 2
• Microsoft Portable Executable and Common Object File Format Specification
• Das Portable Executable Dateiformat (Archiv)
• Icons aus Exe oder DLL auf die PE-Art extrahieren (Archiv)
• Solar Eclipses Tiny-PE-Seite unter „http://www.phreedom.org/solar/code/tinype/“ ist nicht mehr verfügbar (HTML-Archiv), corkamis TinyPE ist hier verfügbar (nur Code)