pefile

pefile 是一个跨平台的 Python 模块，用于解析和处理可移植可执行 (PE) 文件。PE 文件头中包含的大部分信息均可访问，所有节的详细信息和数据也是如此。

Windows 头文件中定义的结构将作为 PE 实例中的属性访问。字段/属性的命名将尽量遵循这些头文件中的命名约定。仅为了方便而添加的快捷方式才会偏离该约定。

pefile 需要对 PE 文件的布局有一些基本了解——有了它，就可以探索 PE 文件格式的几乎所有功能。

安装

通过 pip 安装 pefile：

pip3 install pefile

功能特性

pefile 可以实现的一些任务包括：

• 检查头部
• 分析节数据
• 检索嵌入式数据
• 从资源中读取字符串
• 对可疑和格式错误的值发出警告
• 基本修改 PE，例如写入某些字段和 PE 的其他部分
  • 此功能不会重新排列 PE 文件结构来为新字段腾出空间，因此请谨慎使用。
  • 覆盖字段在大多数情况下应该是安全的。
• 使用 PEiD 签名进行加壳检测
• 生成 PEiD 签名

请参考使用示例获得一些演示如何使用 pefile 的代码片段。

以下是 pefile 针对不同类型文件生成的转储示例：

• 一个加壳文件
• kernel32.dll
• TinyPE

要处理经过身份验证的二进制文件，包括 Authenticode 签名，请查看项目 verify-sigs。

pefile 在多个流水线中运行，每天扫描数十万个新的 PE 文件，虽然并非完美无缺，但随着时间的推移已经变得相当健壮。尽管如此，偶尔也会发现一些小问题。如果您遇到无法正常处理的 PE 文件，请报告！这将有助于使 pefile 变得更加强大。

依赖

pefile 是独立的。该模块没有依赖项；与字节序无关；可在 Windows、macOS 和 Linux 上运行。

使用 pefile 的项目和产品

• Didier Stevens 的 pecheck，一个用于显示 PE 文件信息的工具，在处理 PEiD 文件方面比 pefile 更好。
• MAEC，一种标准化语言，用于基于行为、工件和攻击模式等属性编码和传达有关恶意软件的高保真信息。MAEC 将 pefile 的输出转换为其 XML 格式。
• Qiew，一个十六进制/文件格式查看器。
• VirusTotal
• bbfreeze
• pyemu：下载，GitHub，白皮书
• Immunity Debugger 1.1
• Cuckoo
• CAPE
• MultiScanner
• PE Tree
• icoextract

其他资源

描述 PE 文件格式的海报 PDF：

• 可移植可执行格式布局 展示了 PE 格式定义的头部和结构的全貌。
• 可移植可执行头部遍历 展示了可执行文件的原始视图，其中 PE 格式字段分布在相应区域。

以下链接提供了有关 PE 格式及其结构的详细信息。

• corkami 关于 PE 格式的 wiki 页面（存档）已发展成为关于 PE 格式最深入的资料库之一。
• corkami 的 PE 怪异宝藏库
• 深入剖析 Win32 可移植可执行文件格式
• 深入剖析 Win32 可移植可执行文件格式，第二部分
• Microsoft 可移植可执行文件和通用目标文件格式规范
• 可移植可执行文件格式（存档）
• 以 PE 方式从 Exe 或 DLL 获取图标（存档）
• Solar Eclipse 的 Tiny PE 页面位于 "http://www.phreedom.org/solar/code/tinype/" 已不可用（仅 HTML 存档），corkami 的 TinyPE 可在此处找到（仅代码）