PE-Ressourcenbereich-Dumper und -Analyse

• Vollständige PE-Ressourcenextraktion: Der Dumper analysiert das vollständige Portable-Executable-Format, um jeden Ressourceneintrag aus dem .rsrc-Bereich zu extrahieren. Er durchläuft den Ressourcenverzeichnisbaum, dekodiert benannte und ID-basierte Einträge und zeigt eine hierarchische Ansicht aller eingebetteten Ressourcen mit Typ, Größe und roher Hex-Vorschau.
• Interaktiver Ressourcenverzeichnisbaum: Durchsuchen Sie das Ressourcenverzeichnis in einer einklappbaren Baumansicht, die die interne IMAGE_RESOURCE_DIRECTORY-Struktur widerspiegelt. Jeder Typ-, Namens- und Sprachknoten wird mit ID, Größe und Datenvorschau angezeigt. Navigieren Sie mühelos durch RT_ICON, RT_VERSION, RT_MANIFEST und Dutzende weitere Ressourcentypen.
• Symbolvorschau und Versionsdekodierung: Extrahieren und betrachten Sie Symbolressourcen (RT_GROUP_ICON und RT_ICON), die pixelgenau auf Canvas gerendert werden. Versionsinformationsressourcen (RT_VERSION) werden in strukturierte Felder dekodiert, darunter Dateiversion, Produktname, Unternehmen, Copyright und Betriebssystem-Kompatibilitätsflaggen.
• Erkennung eingebetteter Executables und Sicherheitsanalyse: Der Analysator durchsucht automatisch jede Ressource nach eingebetteten PE-Signaturen (MZ + PE-Header), um versteckte Executables, DLLs und von Malware abgelegte Payloads zu erkennen. Er markiert verdächtige Bereiche, hebt eingebettete Binärdateien mit Größenangaben hervor und erzeugt einen umfassenden Analysebericht.

• Malware-Analyse und Reverse Engineering: Sicherheitsanalysten nutzen den Dumper, um eingebettete Komponenten in verdächtigen Executables zu extrahieren und zu prüfen. Malware speichert häufig Payloads, Konfigurationsdateien, verschlüsselte Daten und zusätzliche Binärdateien im .rsrc-Bereich. Der Dumper deckt versteckte Executables und verdächtige Versionsabweichungen auf, die auf Manipulation hindeuten können.
• Digitale Forensik und Incident Response: Bei der Reaktion auf Vorfälle hilft der Dumper, weaponisierte Dokumente und trojanisierte Installationsprogramme zu identifizieren, indem er eingebettete Executables und anormale Ressourcenstrukturen aufdeckt. Forensische Analysten können Versionsstrings, Symbolressourcen und Manifestdaten mit bekannten Malware-Signaturen abgleichen, um eine Beweiskette aufzubauen.
• Überprüfung von Softwareintegrität und Echtheit: Prüfen Sie durch Dumpen und Inspizieren aller eingebetteten Daten, ob ausführbare Dateien die erwarteten Ressourcen enthalten. Vergleichen Sie extrahierte Versionsinformationen, Copyright-Strings und Symbolfingerabdrücke mit der offiziellen Distribution, um neu verpackte oder manipulierte Binärdateien zu erkennen. Identifizieren Sie fehlende Manifeste oder veränderte Versionsmetadaten.
• Analyse von Packern und Protektoren: Gepackte Executables weisen oft erkennbare Muster im Ressourcenbereich auf. Der Dumper zeigt, wenn ein legitimer Ressourcenbereich komprimiert, verschlüsselt oder durch einen Packer-Stub ersetzt wurde. Analysten können anhand des Ressourcenabdrucks Packer wie UPX, ASPack, Themida und VMProtect klassifizieren.
• Schwachstellenforschung und Exploit-Entwicklung: Forscher prüfen PE-Ressourcen, um versionsspezifische Merkmale, eingebettete Manifeste mit Anforderungen an die Ausführungsebene und Symbolressourcen zu identifizieren, die bei der Versionsbestimmung von Software helfen. Der strukturierte Versionsdump erleichtert die Zuordnung von CVEs zu bestimmten Build-Versionen.
• Schulung und Training zum PE-Dateiformat: Wer das Windows-PE-Dateiformat lernt, kann die Struktur des Ressourcenverzeichnisses direkt sehen. Die interaktive Baumansicht entspricht direkt den Strukturen IMAGE_RESOURCE_DIRECTORY, IMAGE_RESOURCE_DIRECTORY_ENTRY und IMAGE_RESOURCE_DATA_ENTRY aus der offiziellen PE-Spezifikation. Die Analyse der Bereichsheader vertieft die Konzepte aus Reverse-Engineering-Kursen.

Der .rsrc-Bereich (Ressourcenbereich) ist ein standardisiertes Datenverzeichnis innerhalb von Windows-Portable-Executable-Dateien (PE). Er enthält alle eingebetteten Ressourcen, die eine Anwendung zur Laufzeit benötigt, organisiert in einer dreistufigen IMAGE_RESOURCE_DIRECTORY-Hierarchie: Typ (z. B. RT_ICON, RT_VERSION), Name/ID (eindeutige Kennung jeder Ressource) und Sprache (lokalspezifische Varianten). Die PE-Spezifikation definiert über 30 Standardressourcentypen, von Symbolen und Cursorn bis hin zu Versionsmetadaten und XML-Manifesten. Der Ressourcenbereich-Dumper durchläuft diese Hierarchie und zeigt jeden Eintrag in einer durchsuchbaren Baumansicht mit detaillierten Metadaten.

1. PE-Datei hochladen: Wählen Sie eine beliebige .exe-, .dll-, .scr-, .cpl-, .ocx-, .sys- oder .efi-Datei zur Analyse. Der Dumper liest die rohen Binärdaten direkt in Ihrem Browser, ohne sie auf einen Server hochzuladen - die gesamte Verarbeitung erfolgt lokal.
2. PE-Header-Analyse: Das Tool analysiert den DOS-Header, um den e_lfanew-Offset zu finden, validiert die PE-Signatur, liest den IMAGE_FILE_HEADER für Maschinentyp und Bereichsanzahl und zählt anschließend alle Bereichsheader auf, um den .rsrc-Bereich anhand des Namens zu finden. Zusätzlich wird der optionale Header auf Subsystem- und Einstiegspunktinformationen geprüft.
3. Durchlauf des Ressourcenverzeichnisses: Ausgehend vom IMAGE_RESOURCE_DIRECTORY der Wurzel durchläuft das Tool rekursiv alle Einträge, löst benannte und ID-basierte Ressourcen auf, folgt IMAGE_RESOURCE_DATA_ENTRY-Zeigern zu den Rohdaten und erstellt einen vollständigen Baum jeder Ressource mit Typ, Kennung, Größe und Hex-Vorschau. Versionsstrings, Symbolpixeldaten und XML-Manifeste werden dekodiert und in strukturierten Ansichten dargestellt.

• RT_ICON und RT_GROUP_ICON (3, 14): Anwendungssymbole in mehreren Größen und Farbtiefen. Der Dumper extrahiert die Pixeldaten und rendert jedes Symbol direkt in Ihrem Browser als Vorschaubild.
• RT_VERSION (16): strukturierte Versionsmetadaten mit Dateiversion, Produktname, Unternehmen, Copyright, Sprache und Betriebssystem-Kompatibilitätsflaggen. Aus der Struktur VS_FIXEDFILEINFO in lesbare Felder dekodiert.
• RT_MANIFEST (24): XML-Assembly-Manifeste, die die Ausführungsebene (asInvoker/highestAvailable/requireAdministrator), Abhängigkeiten und Kompatibilitätseinstellungen festlegen. Der Dumper zeigt das rohe XML an und markiert signierte Manifeste.
• RT_BITMAP (2), RT_CURSOR (1), RT_MENU (4), RT_DIALOG (5) und mehr: Alle Standardressourcentypen werden identifiziert und im Baum mit ihren Rohgrößen und Hex-Vorschauen angezeigt. Der Dumper verarbeitet jeden in der Win32-API-Spezifikation definierten Ressourcentyp.

Der PE-Ressourcenbereich-Dumper verarbeitet alle Dateien vollständig in Ihrem Browser mit JavaScript. Es werden niemals Dateidaten auf einen Server hochgeladen, in einer Datenbank gespeichert oder an Dritte weitergegeben. Es gibt keine Größenbeschränkung über das hinaus, was Ihr Browser verarbeiten kann - Dateien über 500 MB benötigen möglicherweise länger, verlassen aber niemals Ihr Gerät. Die gesamte PE-Analyse, Ressourcenextraktion, Symbolwiedergabe und Dekodierung von Versionsstrings erfolgt lokal. Exportieren Sie Analyseberichte als JSON, um Ergebnisse mit Ihrem Team zu teilen oder für Ihre Unterlagen aufzubewahren.