Дампер и анализатор секции ресурсов PE

• Полное извлечение ресурсов PE: дампер разбирает формат Portable Executable целиком и извлекает каждую запись ресурсов из секции .rsrc. Он обходит дерево каталога ресурсов, декодирует именованные записи и записи на основе ID и показывает иерархическое представление всех встроенных ресурсов с их типами, размерами и шестнадцатеричным предпросмотром.
• Интерактивное дерево каталога ресурсов: просматривайте каталог ресурсов в сворачиваемом дереве, повторяющем внутреннюю структуру IMAGE_RESOURCE_DIRECTORY. Каждый узел типа, имени и языка отображается с идентификатором, размером и предпросмотром данных. Легко перемещайтесь по RT_ICON, RT_VERSION, RT_MANIFEST и десяткам других типов ресурсов.
• Предпросмотр значков и декодирование сведений о версии: извлекайте и просматривайте ресурсы значков (RT_GROUP_ICON и RT_ICON), отрисованные на canvas с точностью до пикселя. Ресурсы сведений о версии (RT_VERSION) декодируются в структурированные поля: версия файла, название продукта, компания, авторские права и флаги совместимости с операционной системой.
• Обнаружение встроенных исполняемых файлов и анализ безопасности: анализатор автоматически проверяет каждый ресурс на встроенные сигнатуры PE (заголовки MZ + PE), чтобы выявить скрытые исполняемые файлы, DLL и полезные нагрузки, сброшенные вредоносным ПО. Он помечает подозрительные секции, выделяет встроенные бинарные файлы с указанием размера и формирует подробный отчёт об анализе.

• Анализ вредоносного ПО и обратная разработка: специалисты по безопасности используют дампер для извлечения и проверки встроенных компонентов подозрительных исполняемых файлов. Вредоносное ПО часто хранит полезные нагрузки, файлы конфигурации, зашифрованные данные и дополнительные бинарные файлы в секции .rsrc. Дампер выявляет скрытые исполняемые файлы и подозрительные расхождения версий, которые могут указывать на вмешательство.
• Цифровая форензика и реагирование на инциденты: при реагировании на инциденты дампер помогает выявлять вооружённые документы и троянизированные установщики, показывая встроенные исполняемые файлы и аномальные структуры ресурсов. Специалисты могут сопоставлять строки версии, ресурсы значков и данные манифестов с известными сигнатурами вредоносного ПО, чтобы выстроить цепочку доказательств.
• Проверка целостности и подлинности ПО: убедитесь, что исполняемые файлы содержат ожидаемые ресурсы, выгрузив и проверив все встроенные данные. Сравните извлечённые сведения о версии, строки авторских прав и отпечатки значков с официальным дистрибутивом, чтобы выявить перепакованные или изменённые бинарные файлы. Определите отсутствующие манифесты или изменённые метаданные версии.
• Анализ упаковщиков и протекторов: упакованные исполняемые файлы часто имеют узнаваемые шаблоны в секции ресурсов. Дампер показывает, когда легитимная секция ресурсов была сжата, зашифрована или заменена заглушкой упаковщика. Специалисты могут классифицировать упаковщики вроде UPX, ASPack, Themida и VMProtect по их ресурсному отпечатку.
• Исследование уязвимостей и разработка эксплойтов: исследователи проверяют ресурсы PE, чтобы выявить особенности конкретных версий, встроенные манифесты с требованиями к уровню выполнения и ресурсы значков, помогающие определить версию ПО. Структурированный дамп сведений о версии упрощает сопоставление CVE с конкретными сборками.
• Обучение формату PE-файлов: студенты, изучающие формат PE Windows, могут увидеть структуру каталога ресурсов своими глазами. Интерактивное дерево напрямую соответствует структурам IMAGE_RESOURCE_DIRECTORY, IMAGE_RESOURCE_DIRECTORY_ENTRY и IMAGE_RESOURCE_DATA_ENTRY из официальной спецификации PE. Анализ заголовков секций закрепляет понятия из курсов по обратной разработке.

Секция .rsrc (секция ресурсов) - это стандартизированный каталог данных внутри файлов Windows Portable Executable (PE). В ней хранятся все встроенные ресурсы, которые нужны приложению во время работы, организованные в трёхуровневую иерархию IMAGE_RESOURCE_DIRECTORY: тип (например, RT_ICON, RT_VERSION), имя/ID (уникальный идентификатор каждого ресурса) и язык (варианты для конкретных локалей). Спецификация PE определяет более 30 стандартных типов ресурсов - от значков и курсоров до метаданных версии и XML-манифестов. Дампер секции ресурсов обходит эту иерархию и показывает каждую запись в просматриваемом дереве с подробными метаданными.

1. Загрузите PE-файл: выберите любой файл .exe, .dll, .scr, .cpl, .ocx, .sys или .efi для анализа. Дампер читает необработанные бинарные данные прямо в вашем браузере без загрузки на сервер - вся обработка выполняется локально.
2. Разбор заголовков PE: инструмент анализирует заголовок DOS, чтобы найти смещение e_lfanew, проверяет сигнатуру PE, читает IMAGE_FILE_HEADER для определения типа машины и числа секций, а затем перебирает все заголовки секций и находит секцию .rsrc по имени. Также проверяется необязательный заголовок на сведения о подсистеме и точке входа.
3. Обход каталога ресурсов: начиная с корневого IMAGE_RESOURCE_DIRECTORY, инструмент рекурсивно обходит все записи, разрешает именованные ресурсы и ресурсы на основе ID, идёт по указателям IMAGE_RESOURCE_DATA_ENTRY к необработанным данным и строит полное дерево каждого ресурса с типом, идентификатором, размером и шестнадцатеричным предпросмотром. Строки версии, пиксельные данные значков и XML-манифесты декодируются и отображаются в структурированных представлениях.

• RT_ICON и RT_GROUP_ICON (3, 14): значки приложения разных размеров и глубины цвета. Дампер извлекает пиксельные данные и отрисовывает каждый значок как изображение предпросмотра прямо в вашем браузере.
• RT_VERSION (16): структурированные метаданные версии, включая версию файла, название продукта, компанию, авторские права, язык и флаги совместимости с операционной системой. Декодируются в читаемые поля из структуры VS_FIXEDFILEINFO.
• RT_MANIFEST (24): XML-манифесты сборки, задающие уровень выполнения (asInvoker/highestAvailable/requireAdministrator), зависимости и параметры совместимости. Дампер показывает необработанный XML и помечает подписанные манифесты.
• RT_BITMAP (2), RT_CURSOR (1), RT_MENU (4), RT_DIALOG (5) и другие: все стандартные типы ресурсов определяются и отображаются в дереве с исходными размерами и шестнадцатеричным предпросмотром. Дампер обрабатывает любой тип ресурсов, определённый в спецификации Win32 API.

Дампер секции ресурсов PE обрабатывает все файлы полностью в вашем браузере на JavaScript. Никакие данные файлов никогда не загружаются на сервер, не сохраняются в базах данных и не передаются третьим лицам. Ограничений по размеру файла нет, кроме возможностей браузера: файлы размером более 500 МБ могут обрабатываться дольше, но никогда не покинут ваше устройство. Весь разбор PE, извлечение ресурсов, отрисовка значков и декодирование строк версии выполняются локально. Экспортируйте отчёты об анализе в JSON, чтобы поделиться результатами с командой или сохранить их для своих записей.