pe-bear

PE-bear

PE-bear 是一个跨平台的 PE 文件逆向工具。其目标是提供快速灵活的“第一印象”，适用于恶意软件分析师，稳定且能够处理畸形 PE 文件。

PE-bear 的特征库：

• SIG.txt（更新于 2022 年 10 月 17 日）- 包含来自 PEid's UserDB 的特征——由 crashish 提供的脚本转换而来

构建版本

📦 ⚙️ 下载最新的发布版本。

Windows 打包

也可通过以下方式获取：

• Chocolatey
• Scoop
• WinGet（winget install pe-bear）

测试构建

🧪 最新的测试构建（早于官方发布）可从 AppVeyor 构建服务器 下载。这些构建会在每次提交到 main 分支时生成。您可以点击构建版本，然后选择“Artifacts”选项卡来下载。注意：这些构建可能不稳定。

旧版发布的存档可在此处获取：https://github.com/hasherezade/pe-bear-releases

可用版本

Linux 构建需要安装相应版本的 Qt。

带有 vs13 后缀的 Windows 构建（使用 Visual Studio 2013 构建）没有外部依赖。

带有 vs17 或 vs19 后缀的 Windows 构建（使用 Visual Studio 2017 或 2019 构建）需要 Visual Studio 2015 - 2022 可再发行组件包。

带有 vs10 后缀的 Windows 构建使用 Qt4（旧版）构建——与其他使用 Qt5（推荐）的构建不同。它旨在兼容旧版 Windows（例如 XP），可能缺少某些功能。

如何构建

依赖项：

• git
• cmake
• Qt6（可选：Qt5、Qt4）
• bearparser（子模块）
• capstone（子模块）
• sig_finder（子模块）

克隆

使用递归克隆获取仓库及其子模块：

git clone --recursive https://github.com/hasherezade/pe-bear.git

在 Windows 上构建

使用 CMake 生成 Visual Studio 项目。在 Visual Studio 中打开并构建。

在 Linux 和 MacOS 上构建

要在 Linux 或 MacOS 上构建，您可以使用以下脚本：

• build.sh - 默认，使用最新 Qt 构建
• build_qt6.sh - 使用 Qt6 构建
• build_qt5.sh - 使用 Qt5 构建
• build_qt4.sh - 使用 Qt4 构建

要在 MacOS 上生成 .app 捆绑包，您可以使用：

• macos_wrap.sh

更多信息请参阅 📖 Wiki。

如何使用

在 Wiki 上阅读技巧和窍门

---

如果您喜欢 PE-bear，可以通过购买周边商品 🐻 来支持它