开源中国 昨天
喜欢就关注我们吧！
黑莓方面宣布推出一个新的开源工具“PE Tree”，旨在减少逆向工程恶意软件所需的时间和精力。该公司表示，PE Tree 使得逆向工程师可以使用 pefile 和 PyQt5 在树状视图中查看可移植可执行（Portable Executable，PE）文件，
从而降低了从内存中转储和重建恶意软件的门槛，同时提供了社区可以建立的开源 PE 查看器代码库。
PE Tree 还与 HexRays 的IDA Pro 反编译器集成在一起，从而可以轻松导航 PE 结构，以及转储内存中的 PE 文件并执行导入重建， 在识别和阻止各种恶意软件方面至关重要。
软件基本信息
序号维度详情
1软件类型反编译工具
2授权协议Apache
3开发厂商黑莓
4开发语言Python
特性
独立应用程序和 IDAPython 插件
支持 Windows / Linux / Mac
Rainbow PE 比例图：
PE 结构，大小和文件位置的高级概述
可以快速直观地比较 PE samples
在树视图中显示以下 PE headers：
MZ headers
DOS stub
Rich headers
NT/File/Optional headers
Data directories
Sections
Imports
Exports
Debug information
Load config
TLS
Resources
Version information
Certificates
Overlay
从以下位置提取并保存数据：
DOS stub
Sections
Resources
Certificates
Overlay
发送数据到 CyberChef
VirusTotal 搜索：
File hashes
PDB path
Timestamps
Section hash/name
Import hash/name
Export name
Resource hash
Certificate serial
独立应用程序；
Double-click VA/RVA to disassemble with capstone
十六进制转储数据
IDAPython 插件：
轻松浏览PE文件结构
Double-click VA/RVA to view in IDA-view/hex-view
在IDB中搜索内存中的PE文件；
重建进口（IAT + IDT）
转储重建的 PE 文件
在 IDB 中自动注释 PE 文件结构
在 IDB 中自动标记 IAT 偏移量
该工具采用 Python 开发的，并支持Windows、Linux 和 Mac 操作系统。它可以作为独立应用程序或 IDAPython 插件安装和运行，从而使用户可以检查任何可执行的 Windows 文件并查看其组成。
图 1 独立应用程序
图 2 IDAPython 插件
使用 Ero Carrera 的 pefile 模块分析 PE 文件，然后再映射到树视图中。在那里，用户可以查看 headers 的摘要，包括 MZ header、DOS stub、Rich headers、数据目录等。
此外，左侧的“rainbow view”提供了 PE 文件结构的高级概述，并传达了每个区域的 offset/size/ratio。用户可以单击每个区域以跳至树状视图，或者单击鼠标右键以保存到文件或导出到 CyberChef。
黑莓研究运营副总裁埃里克·米拉姆（Eric Milam）称：“随着网络犯罪分子不断发展，网络安全社区需要在其武器库中使用新工具来捍卫和保护组织和人员。
现在市场上已有超过 10 亿个恶意软件，而且这个数字还在以每年 1 亿个以上的数量持续增长。因此我们创建了此解决方案，以帮助网络安全社区进行这场斗争。”
PS：更多关于PE Tree的信息及源码下载，请在“开源中国”公众号对话框回复关键词：0814
▼ 往期精彩回顾 ▼
让老鹰强化学习，捉更多小鸡！开源与美国出口管制张东升，我知道是你！如何使用GAN做一个秃头生产器将会取代现有的开发人员？英特尔推出全新机器自动编程系统谷歌与微软，勇士与恶龙的身份互换？
本站仅提供存储服务，所有内容均由用户发布，如发现有害或侵权内容，请
点击举报。
