PETriage

一个快速的、跨平台的PE（可移植可执行文件）表面分析工具，用于恶意软件分类，用Rust编写。 专为需要在Linux、macOS和Windows上进行实用PE分类而不依赖仅Windows工作流的分析人员设计。

以前称为readpe（重命名以避免与现有工具命名冲突）。

概念

• 仅静态分析 -- PE从不加载或执行。对恶意软件分类安全。
• 优先命令行 -- 轻量级默认工作流，适合批量分析和自动化。
• 可组合 -- JSON/NDJSON输出，可管道传送给jq、SIEM和脚本流程。
• 离线 -- 无网络调用。适合完全隔离的环境。

接口

快速安装

默认CLI构建：

cargo install petriage

对于TUI和GUI构建，请使用特性标志从源码构建。

或从源码构建：

git clone https://github.com/uky007/petriage.git
cd petriage
cargo build --release

有关GUI/TUI构建依赖关系和交叉编译，请参阅docs/installation.md。

快速使用

petriage <file.exe>              # 表面分析（除字符串外所有内容）
petriage <file.exe> -a           # 所有信息，包括字符串
petriage <file.exe> -H           # 仅头信息
petriage <file.exe> -i           # 仅导入
petriage <file.exe> --hashes     # 仅文件哈希
petriage <file.exe> --json       # JSON输出
petriage --batch <dir> --ndjson  # 批量分析目录中的所有PE
petriage <file.exe> --fail-on warning  # 若异常达到所选阈值，退出码为3
petriage <file.exe> --strip-overlay stripped.exe  # 保存PE时不带覆盖层
petriage <file.exe> --carve-overlay overlay.bin   # 提取覆盖层数据

petriage -x <file.exe>           # TUI十六进制查看器
petriage-gui                     # GUI（文件对话框）
petriage-gui <file.exe>          # GUI（直接打开文件）

有关完整的CLI选项、jq配方、TUI/GUI详细信息以及示例输出，请参阅docs/usage.md。

主要特性

• 25条异常规则 -- 加壳、代码注入、时间戳篡改、结构异常、OPSEC泄露、Rich Header篡改、导出目录异常
• OPSEC分析 -- PDB路径、凭据模式、端点检测、CI/CD路径提示、源码路径用户名泄露
• 构建指纹识别 -- 检测.NET/Go/Rust/MSVC/MinGW，并识别加壳工具（UPX、Themida、VMProtect、NSIS等）
• 覆盖层提取/剥离 -- 提取覆盖层数据或将PE保存为无覆盖层（CLI和GUI）
• 导出目录分析 -- DLL名称、时间戳、函数计数，以及异常时间戳检测
• 语义化头编辑（GUI） -- 机器/子系统下拉菜单、人类可读时间戳、DllCharacteristics标志复选框
• 非标准节区高亮 -- 在CLI和GUI中，用黄色高亮显示不常见的节区名称

截图

CLI

GUI

头（结构视图+编辑器）

头编辑器（内联编辑）

退出代码

文档

• 概述与功能
• 安装
• 使用与示例
• 现有工具调查
• 未来工作

许可证

MIT OR Apache-2.0