Analizador de Cabeceras de Sección PE

• Análisis completo de la cabecera PE: el analizador de secciones PE interpreta cabeceras DOS, cabeceras de archivo COFF y todas las cabeceras de sección de tu ejecutable PE. Extrae el tipo de máquina, la marca temporal, los flags de características, los tamaños virtuales, los tamaños de datos en bruto y las direcciones virtuales de cualquier archivo .exe, .dll, .sys u .ocx, todo en tu navegador y sin subir nada a un servidor.
• Detección automática de señales sospechosas: cada sección se comprueba automáticamente frente a problemas de seguridad conocidos: los permisos W+E (RWX) se marcan como peligrosos, los nombres de sección no estándar se resaltan, las secciones de código escribibles activan avisos y las secciones con entropía anormalmente alta se marcan para su investigación.
• Análisis de entropía por sección: el analizador de secciones PE calcula la entropía de Shannon de cada sección de forma independiente. Las secciones de baja entropía (.text, .rdata) indican código normal, mientras que las secciones con entropía superior a 7,0 bits/byte sugieren empaquetado, cifrado o compresión, indicadores habituales de malware u ofuscación.
• Análisis 100 % privado en el navegador: todo el análisis PE, el cálculo de entropía y el análisis ocurren íntegramente en tu navegador con JavaScript. Tus archivos binarios nunca salen de tu dispositivo. Sin cuenta, sin seguimiento y sin almacenamiento de datos. Exporta el informe de análisis completo como JSON para tus registros.

• Detección de malware y packers: los analistas de seguridad usan el análisis de secciones PE para identificar malware empaquetado u ofuscado. Los ejecutables empaquetados suelen mostrar nombres de sección no estándar (UPX0, UPX1, .aspack), flags de permisos W+X y una entropía uniformemente alta en todas las secciones. El analizador de secciones PE hace que estos patrones sean visibles al instante.
• Desarrollo de exploits e ingeniería inversa: los ingenieros inversos analizan las características de las secciones PE para entender la disposición de la memoria, encontrar cuevas de código para inyectar shellcode, identificar secciones de código escribibles para su explotación y trazar la estructura del ejecutable antes de un análisis más profundo con depuradores y desensambladores.
• Validación e integridad de archivos binarios: verifica que un archivo PE tenga cabeceras de sección bien formadas y con las características esperadas. Detecta cabeceras corruptas o manipuladas, secciones faltantes, alineaciones inusuales o tamaños virtuales y en bruto que no coinciden, lo que podría indicar corrupción del archivo o manipulación intencionada.
• Formación en análisis de malware: los estudiantes que aprenden análisis de malware e ingeniería inversa de binarios usan el análisis de secciones PE para entender cómo se estructuran los ejecutables. Las visualizaciones interactivas muestran archivos PE reales con mapas de calor de entropía y decodificación de características.
• Verificación de protección de software y anti-manipulación: los desarrolladores de software y los ingenieros de seguridad verifican que sus mecanismos de protección se apliquen correctamente. Comprueban que los packers, protectores y ofuscadores producen las características de sección esperadas con los perfiles de entropía adecuados.
• Informática forense y respuesta a incidentes: los investigadores forenses analizan archivos PE durante la respuesta a incidentes para clasificar rápidamente ejecutables sospechosos. El análisis de secciones proporciona indicadores rápidos de empaquetado, inyección o modificación sin necesidad de una ingeniería inversa completa.

El formato Portable Executable (PE) es el formato de archivo ejecutable estándar que usa Windows para .exe, .dll, .sys y otros archivos ejecutables. Un archivo PE se divide en secciones, cada una con una cabecera de sección de 40 bytes que describe el nombre de la sección, el tamaño virtual, el tamaño de los datos en bruto, la dirección de memoria y los flags de características. Estos flags definen los permisos de memoria (lectura, escritura, ejecución), el tipo de contenido (código, datos inicializados, datos sin inicializar) y atributos especiales (descartable, compartido). El analizador de secciones PE descodifica cada campo de estas cabeceras y calcula la entropía por sección para el análisis de seguridad.

1. Sube tu archivo PE: selecciona cualquier archivo .exe, .dll, .sys, .ocx o .scr. El analizador lee el archivo como bytes directamente en tu navegador con la API FileReader, sin subir ningún dato a ningún servidor.
2. Analiza las cabeceras PE: el analizador localiza la cabecera DOS (magia MZ), lee e_lfanew para encontrar la firma PE, analiza la cabecera de archivo COFF (máquina, secciones, marca temporal, características) y luego recorre cada cabecera de sección en intervalos de 40 bytes. Se descodifican el nombre de cada sección, los tamaños, las direcciones, los punteros de reubicación y los flags de características.
3. Cálculo de entropía y señalización: para cada sección con datos en bruto, el analizador calcula la entropía de Shannon contando la frecuencia de bytes y evaluando -Σp(i)log₂(p(i)). Las secciones se comprueban con un motor de reglas: combinaciones de permisos W+E, nombres de sección no estándar, entropía anormalmente alta y patrones de código escribible activan señales de sospecha.

• IMAGE_SCN_MEM_EXECUTE (0x10000000): la sección contiene código ejecutable. Es normal en las secciones .text. Cuando se combina con WRITE, crea una sección RWX muy sospechosa y habitual en malware empaquetado.
• IMAGE_SCN_MEM_WRITE (0x40000000): la sección se puede escribir en tiempo de ejecución. Es lo esperado en las secciones .data y .bss. Resulta sospechoso cuando se combina con EXECUTE o cuando aparece en secciones con nombre de código.
• IMAGE_SCN_CNT_CODE (0x00000020): la sección contiene instrucciones ejecutables. Es lo habitual en las secciones .text. Si una sección tiene CODE pero no EXECUTE, o EXECUTE pero no CODE, puede indicar una configuración de sección inusual.
• IMAGE_SCN_MEM_DISCARDABLE (0x02000000): la sección se puede descartar una vez cargada. Es común en las secciones .reloc y .debug. No suele aparecer en secciones de código o datos. Indica que la sección solo se necesita durante la carga inicial.

El analizador de secciones PE procesa todos los archivos íntegramente en tu navegador con JavaScript. Ningún dato se sube jamás a un servidor, se guarda en ninguna base de datos ni se comparte con terceros. No hay límite de tamaño de archivo: la única restricción es la memoria disponible de tu navegador. Con ejecutables muy grandes (más de 100 MB), el análisis puede tardar un momento, pero se completará sin ninguna comunicación con servidores. Exporta el informe de análisis completo como JSON para integrarlo con otras herramientas o guardarlo en tus registros. El analizador admite los formatos PE32 (32 bits) y PE32+ (64 bits), incluidos los archivos generados por todos los compiladores principales (MSVC, GCC/MinGW, Clang, NASM, Go, Rust).