debugging - PE文件的Packer检测

Question

我想知道像 Peid exe 工具或protectid 这样的检测器是如何检测 pe 文件的打包器/保护的。我想当一个程序被打包时可能会有一些常数值，但我不太清楚。有人可以解释一下它是如何工作的，在 OllyDbg 或其他类似的调试器中显示它的最佳方式。对我来说，这些程序如何检测到它是一个真正的谜。

提前感谢任何事情！

Answer 1

这些工具中的大多数都是基于签名的，并带有一些额外的启发式方法。检测编译器也是如此（通过检测编译器启动代码和其他签名）。检测编译器比检测保护器更容易，因为大多数保护器都在变形对打包应用程序进行解密/解压缩的代码部分。