Анализатор заголовков секций PE

• Полный разбор заголовка PE: анализатор секций PE читает заголовки DOS, заголовки файла COFF и все заголовки секций вашего PE-файла. Извлекаются тип машины, метка времени, флаги характеристик, виртуальные размеры, размеры необработанных данных и виртуальные адреса из любого файла .exe, .dll, .sys или .ocx - всё в браузере без загрузки на сервер.
• Автоматическое выявление подозрительных признаков: каждая секция автоматически проверяется на известные проблемы безопасности: права W+E (RWX) помечаются как опасные, нестандартные имена секций выделяются, записываемые секции кода вызывают предупреждения, а секции с аномально высокой энтропией отмечаются для изучения.
• Анализ энтропии по секциям: анализатор вычисляет энтропию Шеннона для каждой секции отдельно. Секции с низкой энтропией (.text, .rdata) говорят о нормальном коде, а секции с энтропией выше 7,0 бит/байт указывают на упаковку, шифрование или сжатие - частые признаки вредоносного ПО или обфускации.
• 100 % приватный анализ в браузере: весь разбор PE, расчёт энтропии и анализ выполняются полностью в вашем браузере на JavaScript. Бинарные файлы никогда не покидают устройство. Без аккаунта, без отслеживания, без хранения данных. Экспортируйте полный отчёт анализа в JSON для своих записей.

• Обнаружение вредоносного ПО и упаковщиков: специалисты по безопасности используют анализ секций PE для выявления упакованного или обфусцированного вредоносного ПО. Упакованные исполняемые файлы часто показывают нестандартные имена секций (UPX0, UPX1, .aspack), флаги прав W+X и равномерно высокую энтропию по всем секциям. Анализатор делает эти закономерности мгновенно заметными.
• Разработка эксплойтов и обратная разработка: специалисты анализируют характеристики секций PE, чтобы понять раскладку памяти, найти code caves для инъекции шелл-кода, выявить записываемые секции кода для эксплуатации и описать структуру файла до глубокого анализа отладчиками и дизассемблерами.
• Проверка и контроль целостности бинарных файлов: убедитесь, что PE-файл имеет корректные заголовки секций с ожидаемыми характеристиками. Выявляйте повреждённые или изменённые заголовки, отсутствующие секции, необычное выравнивание и несовпадение виртуальных и физических размеров, что может указывать на повреждение или намеренную манипуляцию.
• Обучение анализу вредоносного ПО: студенты, изучающие анализ вредоносного ПО и обратную разработку, используют анализ секций PE для понимания структуры исполняемых файлов. Интерактивные визуализации показывают реальные PE-файлы с тепловыми картами энтропии и декодированием характеристик.
• Проверка защиты ПО и анти-тамперинга: разработчики и инженеры безопасности проверяют, что их механизмы защиты применены корректно. Убеждаются, что упаковщики, протекторы и обфускаторы создают ожидаемые характеристики секций с правильными профилями энтропии.
• Цифровая форензика и реагирование на инциденты: эксперты анализируют PE-файлы при реагировании на инциденты, чтобы быстро сортировать подозрительные исполняемые файлы. Анализ секций даёт быстрые признаки упаковки, инъекции или модификации без полной обратной разработки.

Формат Portable Executable (PE) - это стандартный формат исполняемых файлов Windows для .exe, .dll, .sys и других исполняемых файлов. PE-файл делится на секции, каждая из которых имеет заголовок размером 40 байт, описывающий имя секции, виртуальный размер, размер необработанных данных, адрес в памяти и флаги характеристик. Эти флаги определяют права доступа к памяти (чтение, запись, исполнение), тип содержимого (код, инициализированные данные, неинициализированные данные) и особые атрибуты (отбрасываемая, разделяемая). Анализатор секций PE декодирует каждое поле этих заголовков и вычисляет энтропию по секциям для анализа безопасности.

1. Загрузите PE-файл - выберите любой файл .exe, .dll, .sys, .ocx или .scr. Парсер читает файл как байты прямо в вашем браузере через API FileReader, не отправляя данные на сервер.
2. Разбор заголовков PE: анализатор находит заголовок DOS (магия MZ), читает e_lfanew для поиска сигнатуры PE, разбирает заголовок файла COFF (машина, секции, метка времени, характеристики), а затем перебирает каждый заголовок секции с шагом 40 байт. Декодируются имя, размеры, адреса, указатели релокации и флаги характеристик каждой секции.
3. Расчёт энтропии и пометка: для каждой секции с необработанными данными анализатор вычисляет энтропию Шеннона, подсчитывая частоты байтов и вычисляя -Σp(i)log₂(p(i)). Секции проверяются движком правил: комбинации прав W+E, нестандартные имена секций, аномально высокая энтропия и шаблоны записываемого кода вызывают пометки о подозрительности.

• IMAGE_SCN_MEM_EXECUTE (0x10000000): секция содержит исполняемый код. Нормально для секций .text. В сочетании с WRITE создаёт секцию RWX - крайне подозрительную и часто встречающуюся в упакованном вредоносном ПО.
• IMAGE_SCN_MEM_WRITE (0x40000000): секцию можно записывать во время выполнения. Ожидаемо для секций .data и .bss. Подозрительно в сочетании с EXECUTE или в секциях с «кодовыми» именами.
• IMAGE_SCN_CNT_CODE (0x00000020): секция содержит исполняемые инструкции. Стандартно для секций .text. Если у секции есть CODE без EXECUTE или EXECUTE без CODE, это может указывать на необычную конфигурацию секции.
• IMAGE_SCN_MEM_DISCARDABLE (0x02000000): секцию можно отбросить после загрузки. Обычно для секций .reloc и .debug. Как правило, не встречается в секциях кода или данных. Указывает, что секция нужна только при первоначальной загрузке.

Анализатор секций PE обрабатывает все файлы полностью в вашем браузере на JavaScript. Данные никогда не загружаются на сервер, не сохраняются в базе данных и не передаются третьим лицам. Ограничений по размеру файла нет: единственное ограничение - доступная память браузера. Для очень больших исполняемых файлов (свыше 100 МБ) анализ может занять некоторое время, но завершится без серверной коммуникации. Экспортируйте полный отчёт анализа в JSON для интеграции с другими инструментами или для своих записей. Анализатор поддерживает форматы PE32 (32 бита) и PE32+ (64 бита), включая файлы всех основных компиляторов (MSVC, GCC/MinGW, Clang, NASM, Go, Rust).