Treść książki
Przejdź do opcji czytnikaPrzejdź do nawigacjiPrzejdź do informacjiPrzejdź do stopki
•
sekcjaVersionInfozawieranumerwersjiorazczęstonazwęfirmyioświadczenie
oprawachautorskich.
Sekcja.rsrcpokazananarysunku1.9jesttypowadlaaplikacjiWindowsimoże
zawieraćwszystkoto,czegowymagaprogramista.
UWAGAMalware,aczasamitakżeinieszkodliweoprogramowanie,częstoprzechowujątutajzagnieżdżony
programlubsterownik,aprzeduruchomieniemprogramuwyodrębniająwbudowanyplikwykonywalny
lubsterownik.ResourceHackerpozwalawyodrębnićteplikidoindywidualnejanalizy.
KorzystaniezinnychnarzędzidlaplikówPE
DoprzeglądanianagłówkaPEdostępnychjestwieleinnychnarzędzi.Dwanajbardziej
przydatnenarzędziatoPEBrowseProfessionaliPEExplorer.
PEBrowseProfessional(http://www.smidgeonsoft.prohosting.com/pebrowsepro-file-viewer.
html)jestpodobnydoPEview.Pozwalanapodglądbajtówzkażdejsekcjiorazpokazuje
przeanalizowanedane.PEBrowseProfessionalnajlepiejradzisobiezprezentowaniem
informacjizsekcjidotyczącejzasobów(.rsrc).
PEExplorer(http://www.heaventools.com/)mabogatyinterfejsgraficzny
,którypo-
zwalaporuszaćsięporóżnychczęściachplikuPE.Możemyedytowaćniektóreczęści
plikuPE,azawartywnimedytorzasobówdoskonalenadajesiędoprzeglądaniaiedy-
cjizasobówpliku.Głównąwadątegonarzędziajestto,żeniejestonodarmowe.
PodsumowanienagłówkaPe
NagłówekPEzawieraprzydatneinformacjedlaanalitykamalwareibędziemynadal
jeanalizowaćwkolejnychrozdziałach.Tabela1.7zawieraprzeglądkluczowychinfor-
macji,któremożnauzyskaćznagłówkaPE.
Tabela1.7.InformacjewnagłówkuPE
Pole
Importy
Eksporty
Znacznikczasu
Sekcje
Podsystem
Zasoby
Ujawnianeinformacje
funkcjezinnychbibliotekużywaneprzezmalware
funkcjemalware,któremogąbyćwywoływaneprzezinneprogramylub
biblioteki
czaskompilacjiprogramu
nazwysekcjiwplikuorazichrozmiarynadyskuiwpamięci
wskazanie,czyprogramjestaplikacjąwierszapoleceń,czyzawieraGUI
łańcuchy,ikony,menuiinneinformacjezawartewpliku
Podsumowanie
Korzystajączzestawustosunkowoprostychnarzędzi,możemyprzeprowadzićanalizę
statycznąmalwareiuzyskaćpewienwglądwjegodziałanie.Aleanalizastatycznajest
zazwyczajtylkopierwszymkrokiemizwyklekoniecznesądalszebadania.Następnym
krokiemjestskonfigurowaniebezpiecznegośrodowiska,wktórymmożnauruchomić
złośliweoprogramowanieiprzeprowadzićpodstawowąanalizędynamiczną,cozoba-
czymywdwóchkolejnychrozdziałach.
26Rozdział1
