Exeinfo PE 简介
在软件逆向工程（Reverse Engineering）与恶意代码分析的领域，第一步永远是“侦查”。在 Windows 生态下，几乎所有的可执行文件（EXE/DLL/SYS）都遵循着 PE（Portable Executable）文件结构。很多商业软件或病毒为了防止被反编译，会使用各种加壳工具（Packers / Protectors）对其进行混淆加密。为了看清其真面目，波兰大神开发的《Exeinfo PE》成为了业界标杆级的 PE 侦测工具。本次分享的是集成了 A-new 大牛插件包的 v0.0.9.8 深度汉化单文件版。
核心功能与技术解析
- 极其庞大的特征码（Signatures）匹配库：Exeinfo PE 的核心竞争力在于它内置了可能是全球最庞大的特征码数据库。当把文件拖入时，它会瞬间扫描 PE 头的入口点（OEP）附近的汇编特征，不仅能精准识别出诸如
VMP,Themida,ASPack,UPX等几百种保护壳，还能直接指出该程序是由C++ Builder,Delphi,Visual Basic还是Rust编译而成的。 - 深度的 PE 架构剖析：除了查壳，它还是一个完美的 PE 文件外科手术刀。它可以将极其晦涩的二进制文件，解析成清晰可视的结构树。逆向工程师可以直接查看程序的 RVA（相对虚拟地址）、区段表（Sections Table，如
.text,.rdata,.data的偏移量），以及极其关键的输入表/输出表（Import / Export Table），从而快速定位 API 调用逻辑。 - 暴力的 Overlay 与资源剥离：很多恶意软件会将实际的 Payload（恶意载荷）隐藏在主程序的资源文件（Resources）或文件尾部（Overlay）中。Exeinfo PE 提供了极其硬核的提取能力，它能无视代码逻辑，直接在十六进制层面把隐藏在其中的 MSI 安装包、压缩档、图片甚至是内部的 SWF 动画直接剥离出来。
版本优化 (v0.0.9.8 A-new 插件版)
- A-new 插件的史诗级增强：原版 Exeinfo PE 虽然强大，但在面对一些国内本土的冷门壳（如各种易语言变种加密）时偶尔会吃瘪。这个修改版集成了大名鼎鼎的 A-new 插件包，极大地扩充了特征码数据库，补齐了针对国产冷门加壳算法的侦测短板。
- 极致便携的纯净单文件（Single-Executable）：作为一款底层嗅探工具，它被完美打包成了单文件版。无需复杂的依赖安装，直接双击运行。并且由于进行了深度的高质量汉化，将那些生僻难懂的逆向术语全部转换为流畅的中文，极大降低了安全人员的分析心智负担。
常见问题
问题： 为什么有时候一个明明加了壳的最新软件，软件扫描后却显示“Not Packed（未加壳）”或者识别出一个错误的编译器名称？
解决： 这是典型的“特征码混淆”或“零日壳（0-day Packer）”问题。由于 Exeinfo PE 主要是通过静态匹配预先录入的“特征码字典”来识别的。如果软件作者使用了市面上极其罕见的私有加密算法，或者故意篡改了 PE 头部的魔数（Magic Number）与区段名称来伪装，工具就会被欺骗。遇到这种情况，往往需要结合动态调试工具（如 x64dbg）在内存中去追踪它真正的 OEP（原始入口点）才能确认。
体验总结
《Exeinfo PE v0.0.9.8》在系统底层安全与逆向分析领域，是一面无可替代的“照妖镜”。它用极其简陋甚至有些复古的界面，展现了令人头皮发麻的二进制分析能力。在那个充满了破解与反破解对抗的数字赛博空间里，它永远是逆向极客们拖入未知程序的第一个“验毒台”。这款集成了顶级插件的汉化单文件版，绝对是你涉足安全领域的必备神兵。
下载地址：
baidu: https://pan.baidu.com/s/1N-O2itVMguonGEpETIHzhw?pwd=l14k
xunlei: https://pan.xunlei.com/s/VOyTMo6oAES4zlTgh5H2OmAvA1?pwd=y8pg
quark: https://pan.quark.cn/s/5dc18cfe2b88