Analisador de Cabeçalhos de Secção PE

• Análise completa do cabeçalho PE: o analisador de secções PE interpreta cabeçalhos DOS, cabeçalhos de ficheiro COFF e todos os cabeçalhos de secção do seu executável PE. Extraia o tipo de máquina, a marca temporal, os flags de características, os tamanhos virtuais, os tamanhos de dados em bruto e os endereços virtuais de qualquer ficheiro .exe, .dll, .sys ou .ocx - tudo no seu navegador e sem enviar nada para um servidor.
• Deteção automática de sinais suspeitos: cada secção é verificada automaticamente face a problemas de segurança conhecidos: as permissões W+E (RWX) são marcadas como perigosas, os nomes de secção não padrão são realçados, as secções de código graváveis geram avisos e as secções com entropia anormalmente elevada são marcadas para investigação.
• Análise de entropia por secção: o analisador de secções PE calcula a entropia de Shannon de cada secção de forma independente. As secções de baixa entropia (.text, .rdata) indicam código normal, enquanto as secções com entropia acima de 7,0 bits/byte sugerem empacotamento, cifra ou compressão - indicadores frequentes de malware ou ofuscação.
• Análise 100% privada no navegador: toda a análise PE, o cálculo de entropia e a análise acontecem inteiramente no seu navegador com JavaScript. Os seus ficheiros binários nunca saem do seu dispositivo. Sem conta, sem rastreamento e sem armazenamento de dados. Exporte o relatório de análise completo como JSON para os seus registos.

• Deteção de malware e packers: os analistas de segurança usam a análise de secções PE para identificar malware empacotado ou ofuscado. Os executáveis empacotados mostram frequentemente nomes de secção não padrão (UPX0, UPX1, .aspack), flags de permissões W+X e entropia uniformemente alta em todas as secções. O analisador de secções PE torna estes padrões imediatamente visíveis.
• Desenvolvimento de exploits e engenharia reversa: os engenheiros reversos analisam as características das secções PE para compreender a disposição da memória, encontrar code caves para injetar shellcode, identificar secções de código graváveis para exploração e mapear a estrutura do executável antes de uma análise mais profunda com depuradores e desmontadores.
• Validação e integridade de ficheiros binários: verifique se um ficheiro PE tem cabeçalhos de secção bem formados com as características esperadas. Detete cabeçalhos corrompidos ou adulterados, secções em falta, alinhamentos invulgares ou tamanhos virtuais e em bruto que não coincidem, o que pode indicar corrupção do ficheiro ou manipulação intencional.
• Formação em análise de malware: os estudantes que aprendem análise de malware e engenharia reversa de binários usam a análise de secções PE para compreender a estrutura dos executáveis. As visualizações interativas mostram ficheiros PE reais com mapas de calor de entropia e descodificação de características.
• Verificação de proteção de software e anti-adulteração: os programadores e engenheiros de segurança verificam que os seus mecanismos de proteção estão aplicados corretamente. Confirme que packers, protetores e ofuscadores produzem as características de secção esperadas com os perfis de entropia adequados.
• Forense digital e resposta a incidentes: os investigadores forenses analisam ficheiros PE durante a resposta a incidentes para triar rapidamente executáveis suspeitos. A análise de secções fornece indicadores rápidos de empacotamento, injeção ou modificação sem exigir engenharia reversa completa.

O formato Portable Executable (PE) é o formato de ficheiro executável padrão usado pelo Windows para .exe, .dll, .sys e outros ficheiros executáveis. Um ficheiro PE está dividido em secções, cada uma com um cabeçalho de secção de 40 bytes que descreve o nome da secção, o tamanho virtual, o tamanho dos dados em bruto, o endereço de memória e os flags de características. Estes flags definem as permissões de memória (leitura, escrita, execução), o tipo de conteúdo (código, dados inicializados, dados não inicializados) e atributos especiais (descartável, partilhado). O analisador de secções PE descodifica cada campo destes cabeçalhos e calcula a entropia por secção para análise de segurança.

1. Carregue o seu ficheiro PE - selecione qualquer ficheiro .exe, .dll, .sys, .ocx ou .scr. O parser lê o ficheiro como bytes diretamente no seu navegador com a API FileReader, sem enviar dados para nenhum servidor.
2. Analise os cabeçalhos PE: o analisador localiza o cabeçalho DOS (magia MZ), lê e_lfanew para encontrar a assinatura PE, analisa o cabeçalho de ficheiro COFF (máquina, secções, marca temporal, características) e depois percorre cada cabeçalho de secção em intervalos de 40 bytes. O nome de cada secção, os tamanhos, os endereços, os ponteiros de relocalização e os flags de características são descodificados.
3. Cálculo de entropia e sinalização: para cada secção com dados em bruto, o analisador calcula a entropia de Shannon contando a frequência de bytes e avaliando -Σp(i)log₂(p(i)). As secções são verificadas por um motor de regras: combinações de permissões W+E, nomes de secção não padrão, entropia anormalmente alta e padrões de código gravável despoletam sinais de suspeita.

• IMAGE_SCN_MEM_EXECUTE (0x10000000): a secção contém código executável. Normal nas secções .text. Quando combinado com WRITE, cria uma secção RWX altamente suspeita e comum em malware empacotado.
• IMAGE_SCN_MEM_WRITE (0x40000000): a secção pode ser escrita em tempo de execução. Esperado nas secções .data e .bss. Suspeito quando combinado com EXECUTE ou quando aparece em secções com nome de código.
• IMAGE_SCN_CNT_CODE (0x00000020): a secção contém instruções executáveis. Padrão nas secções .text. Se uma secção tiver CODE sem EXECUTE, ou EXECUTE sem CODE, pode indicar uma configuração de secção invulgar.
• IMAGE_SCN_MEM_DISCARDABLE (0x02000000): a secção pode ser descartada após o carregamento. Comum nas secções .reloc e .debug. Normalmente não surge em secções de código ou dados. Indica que a secção só é necessária durante o carregamento inicial.

O analisador de secções PE processa todos os ficheiros inteiramente no seu navegador com JavaScript. Nenhum dado é alguma vez carregado para qualquer servidor, guardado em qualquer base de dados ou partilhado com terceiros. Não há limite de tamanho de ficheiro - a única restrição é a memória disponível do seu navegador. Para executáveis muito grandes (mais de 100 MB), a análise pode demorar um pouco, mas concluirá sem qualquer comunicação com servidores. Exporte o relatório de análise completo como JSON para integrar com outras ferramentas ou guardar nos seus registos. O analisador suporta os formatos PE32 (32 bits) e PE32+ (64 bits), incluindo ficheiros produzidos por todos os principais compiladores (MSVC, GCC/MinGW, Clang, NASM, Go, Rust).