PE Tree是黑莓推出的一個逆向工程工具,用于使用pefile和PyQt5在樹狀視圖中查看可移植可執(zhí)行(PE)文件的 Python模塊,還可與IDA Pro一起使用以轉(zhuǎn)儲內(nèi)存中的PE文件并重建導(dǎo)入。
軟件特色
獨立應(yīng)用程序和 IDAPython 插件
支持 Windows / Linux / Mac
Rainbow PE 比例圖:
PE 結(jié)構(gòu),大小和文件位置的高級概述
可以快速直觀地比較 PE samples
在樹視圖中顯示以下 PE headers:
MZ headers
DOS stub
Rich headers
NT/File/Optional headers
Data directories
Sections
Imports
Exports
Debug information
Load config
TLS
Resources
Version information
Certificates
Overlay
從以下位置提取并保存數(shù)據(jù):
DOS stub
Sections
Resources
Certificates
Overlay
發(fā)送數(shù)據(jù)到 CyberChef
VirusTotal 搜索:
File hashes
PDB path
Timestamps
Section hash/name
Import hash/name
Export name
Resource hash
Certificate serial
獨立應(yīng)用程序;
Double-click VA/RVA to disassemble with capstone
十六進制轉(zhuǎn)儲數(shù)據(jù)
IDAPython 插件:
輕松瀏覽PE文件結(jié)構(gòu)
Double-click VA/RVA to view in IDA-view/hex-view
在IDB中搜索內(nèi)存中的PE文件;
重建進口(IAT + IDT)
轉(zhuǎn)儲重建的 PE 文件
在 IDB 中自動注釋 PE 文件結(jié)構(gòu)
在 IDB 中自動標(biāo)記 IAT 偏移量