PE-Section-Header-Analysator

• Vollständige PE-Header-Analyse: Der PE-Section-Analysator liest DOS-Header, COFF-Dateiheader und jeden Section-Header Ihrer PE-Executable. Extrahieren Sie Maschinentyp, Zeitstempel, Charakteristik-Flags, virtuelle Größen, Rohdatengrößen und virtuelle Adressen aus jeder .exe-, .dll-, .sys- oder .ocx-Datei - alles in Ihrem Browser ohne Server-Upload.
• Automatische Erkennung verdächtiger Signale: Jeder Abschnitt wird automatisch auf bekannte Sicherheitsprobleme geprüft: W+E-(RWX-)Berechtigungen werden als gefährlich markiert, nicht standardmäßige Abschnittsnamen hervorgehoben, beschreibbare Codeabschnitte lösen Warnungen aus und Abschnitte mit anomal hoher Entropie werden zur Untersuchung markiert.
• Entropieanalyse pro Abschnitt: Der PE-Section-Analysator berechnet die Shannon-Entropie jedes Abschnitts unabhängig. Abschnitte mit niedriger Entropie (.text, .rdata) weisen auf normalen Code hin, während Abschnitte mit einer Entropie über 7,0 Bits/Byte auf Packing, Verschlüsselung oder Kompression hindeuten - häufige Anzeichen für Malware oder Obfuskation.
• 100 % private Analyse im Browser: Die gesamte PE-Analyse, Entropieberechnung und Auswertung erfolgt vollständig in Ihrem Browser mit JavaScript. Ihre Binärdateien verlassen niemals Ihr Gerät. Kein Konto erforderlich, kein Tracking, keine Datenspeicherung. Exportieren Sie den vollständigen Analysebericht als JSON für Ihre Unterlagen.

• Malware- und Packer-Erkennung: Sicherheitsanalysten nutzen die PE-Section-Analyse, um gepackte oder obfuskierte Malware zu identifizieren. Gepackte Executables zeigen oft nicht standardmäßige Abschnittsnamen (UPX0, UPX1, .aspack), W+X-Berechtigungsflags und gleichmäßig hohe Entropie über alle Abschnitte. Der PE-Section-Analysator macht diese Muster sofort sichtbar.
• Exploit-Entwicklung und Reverse Engineering: Reverse Engineers analysieren PE-Abschnittsmerkmale, um das Speicherlayout zu verstehen, Code Caves für Shellcode-Injektion zu finden, beschreibbare Codeabschnitte für Exploits zu identifizieren und die Executable-Struktur vor der tieferen Analyse mit Debuggern und Disassemblern zu erfassen.
• Validierung und Integritätsprüfung von Binärdateien: Prüfen Sie, ob eine PE-Datei wohlgeformte Section-Header mit erwarteten Merkmalen hat. Erkennen Sie beschädigte oder manipulierte Header, fehlende Abschnitte, ungewöhnliche Ausrichtungen oder nicht übereinstimmende virtuelle und rohe Größen, die auf Dateikorruption oder absichtliche Manipulation hindeuten können.
• Ausbildung in Malware-Analyse: Studierende, die Malware-Analyse und binäres Reverse Engineering lernen, nutzen die PE-Section-Analyse, um den Aufbau von Executables zu verstehen. Die interaktiven Visualisierungen zeigen echte PE-Dateien mit Entropie-Heatmaps und dekodierten Charakteristiken.
• Verifikation von Softwareschutz und Anti-Tampering: Softwareentwickler und Sicherheitsingenieure prüfen, ob ihre Schutzmechanismen korrekt angewendet werden. Kontrollieren Sie, dass Packer, Protectors und Obfuskatoren die erwarteten Abschnittsmerkmale mit passenden Entropieprofilen erzeugen.
• Digitale Forensik und Incident Response: Forensische Ermittler analysieren PE-Dateien während der Incident Response, um verdächtige Executables schnell zu triagieren. Die Abschnittsanalyse liefert schnelle Hinweise auf Packing, Injektion oder Modifikation, ohne dass vollständiges Reverse Engineering nötig ist.

Das Portable-Executable-(PE-)Format ist das Standardformat für ausführbare Dateien unter Windows für .exe, .dll, .sys und andere ausführbare Dateien. Eine PE-Datei ist in Abschnitte unterteilt, jeder mit einem 40-Byte-Section-Header, der Name, virtuelle Größe, Rohdatengröße, Speicheradresse und Charakteristik-Flags beschreibt. Diese Flags definieren Speicherberechtigungen (Lesen, Schreiben, Ausführen), Inhaltstyp (Code, initialisierte Daten, nicht initialisierte Daten) und besondere Attribute (verwerfbar, freigegeben). Der PE-Section-Analysator dekodiert jedes Feld dieser Header und berechnet die Entropie pro Abschnitt für die Sicherheitsanalyse.

1. Laden Sie Ihre PE-Datei hoch - wählen Sie eine .exe-, .dll-, .sys-, .ocx- oder .scr-Datei. Der Parser liest die Datei direkt in Ihrem Browser über die FileReader-API als Bytes, ohne Daten an einen Server zu senden.
2. PE-Header analysieren: Der Analysator findet den DOS-Header (MZ-Magic), liest e_lfanew, um die PE-Signatur zu finden, analysiert den COFF-Dateiheader (Maschine, Abschnitte, Zeitstempel, Charakteristiken) und durchläuft dann jeden Section-Header in 40-Byte-Schritten. Name, Größen, Adressen, Relokationszeiger und Charakteristik-Flags jedes Abschnitts werden dekodiert.
3. Entropieberechnung und Markierung: Für jeden Abschnitt mit Rohdaten berechnet der Analysator die Shannon-Entropie durch Zählen der Byte-Häufigkeit und Auswertung von -Σp(i)log₂(p(i)). Die Abschnitte werden von einer Regel-Engine geprüft: W+E-Berechtigungskombinationen, nicht standardmäßige Abschnittsnamen, anomal hohe Entropie und beschreibbare Codemuster lösen Verdachtsmarkierungen aus.

• IMAGE_SCN_MEM_EXECUTE (0x10000000): Der Abschnitt enthält ausführbaren Code. Normal für .text-Abschnitte. In Kombination mit WRITE entsteht ein RWX-Abschnitt, der stark verdächtig ist und häufig in gepackter Malware vorkommt.
• IMAGE_SCN_MEM_WRITE (0x40000000): Der Abschnitt kann zur Laufzeit beschrieben werden. Erwartet bei .data- und .bss-Abschnitten. Verdächtig in Kombination mit EXECUTE oder bei Abschnitten mit Codenamen.
• IMAGE_SCN_CNT_CODE (0x00000020): Der Abschnitt enthält ausführbare Anweisungen. Standard für .text-Abschnitte. Hat ein Abschnitt CODE aber nicht EXECUTE oder EXECUTE aber nicht CODE, kann das auf eine ungewöhnliche Abschnittskonfiguration hindeuten.
• IMAGE_SCN_MEM_DISCARDABLE (0x02000000): Der Abschnitt kann nach dem Laden verworfen werden. Häufig bei .reloc- und .debug-Abschnitten. Tritt normalerweise nicht bei Code- oder Datenabschnitten auf. Zeigt an, dass der Abschnitt nur beim initialen Laden benötigt wird.

Der PE-Section-Analysator verarbeitet alle Dateien vollständig in Ihrem Browser mit JavaScript. Es werden niemals Daten auf einen Server hochgeladen, in einer Datenbank gespeichert oder an Dritte weitergegeben. Es gibt keine Dateigrößenbeschränkung - die einzige Einschränkung ist der verfügbare Speicher Ihres Browsers. Bei sehr großen Executables (über 100 MB) kann die Analyse einen Moment dauern, wird aber ohne jegliche Serverkommunikation abgeschlossen. Exportieren Sie den vollständigen Analysebericht als JSON zur Integration in andere Tools oder für Ihre Unterlagen. Der Analysator unterstützt die Formate PE32 (32-Bit) und PE32+ (64-Bit), einschließlich Dateien aller wichtigen Compiler (MSVC, GCC/MinGW, Clang, NASM, Go, Rust).