peid 0.94優(yōu)化版 附使用教程

peid 0.94優(yōu)化版作為最強(qiáng)大的一個(gè)查殼工具，事實(shí)上也是peid 0.94破解版，此版本已經(jīng)完美激活，無功能限制，用戶可以有效地查出應(yīng)用程序所加殼的類型以及使用何編程語言編寫，探測大多數(shù)的 PE 文件封包器、加密器和編譯器。軟件主要利用查特征串搜索來完成識(shí)別工作的，各種開發(fā)語言都有固定的啟動(dòng)代碼部分，利用這點(diǎn)可識(shí)別是何種語言編譯的，被加殼程序處理過的程序，在殼里會(huì)留下相關(guān)加殼軟件的信息，利用這點(diǎn)就可識(shí)別是保種殼所加密的，它提供了一個(gè)擴(kuò)展接口文件userdb.txt ，用啟可以自定義一些特征碼，這樣可以識(shí)別出新的文件類型?，F(xiàn)在軟件越來越多的加殼了，給破解帶來非常大的不便，但是這個(gè)peid軟件可以檢測出 450種殼，非常方便，軟件增加病毒掃描功能，是目前各類查殼工具中，性能最強(qiáng)的，新增加WinNT平臺(tái)下的自動(dòng)脫殼器插件，可以應(yīng)對現(xiàn)在大部分的軟件脫殼。

模式介紹

●正常掃描模式：

可在PE文檔的入口點(diǎn)掃描所有記錄的簽名；

●深度掃描模式：

可深入掃描所有記錄的簽名，這種模式要比上一種的掃描范圍更廣、更深入；

●核心掃描模式：

可完整地掃描整個(gè)PE文檔，建議將此模式作為最后的選擇。PEiD內(nèi)置有差錯(cuò)控制的技術(shù)，所以一般能確保掃描結(jié)果的準(zhǔn)確性。前兩種掃描模式幾乎在瞬間就可得到結(jié)果，最后一種有點(diǎn)慢，原因顯而易見。

peid軟件相關(guān)功能講解

1、程序主界面功能如下圖所示

2、選擇多文件掃描后出現(xiàn)如下界面

3、選擇查看進(jìn)程后如下圖所示

4、選擇選項(xiàng)菜單后出現(xiàn)如下圖所示界面

注：四種掃描模式的說明

1、普通掃描：只掃描入口處，忽略擴(kuò)展簽名庫中簽名的ep_only=選項(xiàng)

2、深度掃描：比普通掃描更廣，更深入，但如果擴(kuò)展簽名庫中簽名的ep_only = true的話會(huì)忽略此條簽名

3、核心掃描：整個(gè)文件掃描，速度可能會(huì)慢，但同樣會(huì)忽略擴(kuò)展簽名庫中簽名選項(xiàng)中ep_only = true的簽名

4、外部時(shí)掃描：使用外部簽名庫，但是使用以上三種掃描中的那一種取絕于選項(xiàng)中的選擇，如果選擇普通掃描，同樣只有外部簽名庫掃描文件入口處，深度掃描則用普通掃描和深度掃描都掃一遍，如果是核心掃描，那么將先普通，再深度，后核心的掃描順序進(jìn)行掃描

5、選擇如右下角的擴(kuò)展信息后如下圖所示

6、選對右下角的箭頭標(biāo)志后如下圖所示

7、最后對PEID簽名庫中的簽名所下解釋（以下是兩條獨(dú)立的簽名庫，我們只對第一條作解釋）

注釋如下：

1、殼的名稱可以隨變寫，不影響查殼，但也不能亂寫，最起碼自已要知道能看懂吧??！ !

2、紅色圈出的簽名部分"signature= "之后的部分才是簽名，答名的提取是有講究的，其中"??"是不確定的值，也就是說這種殼此處的值可以每次都會(huì)有變化，比如對兩個(gè)文件同時(shí)加殼，此處的值可能會(huì)有兩個(gè)，所以此處就用雙問號(hào)表示（也就是一個(gè)字節(jié)），其化處當(dāng)然是提取到是什么就添什么了。

3、藍(lán)色圈出部分中"ep_only= "是不變的，其后面可以取兩個(gè)值，true和false。當(dāng)采用true的時(shí)候，任何掃描都只掃描程序入口，如果為false的時(shí)候，普通掃描同樣只掃入口，深度和核心掃描將根據(jù)各自的掃描深度對文件內(nèi)部代碼進(jìn)行對比掃描

【常見問題】

PEiD打不開就停止工作的解決辦法

方法一、特征碼定位法刪除問題插件

1、我這里以win10系統(tǒng)下的peid0.94版本為例。運(yùn)行后提示已停止，如下圖所示：

2、所謂特征碼定位法，類似于早期遠(yuǎn)程控制軟件的免殺操作，逐個(gè)的刪除插件文件，定位出有問題的插件，將有問題插件刪除后保證peid的正常運(yùn)行 。具體來說，首先用戶可以將peid下的plugins文件夾刪除，看是否能正常運(yùn)行。

3、刪除plugins文件夾，正常運(yùn)行peid0.94，說明問題出在plugins目錄。但是plugins目錄是很有用的，你不可能全部將其刪除，所以需要定位有問題的DLL插件。

4、具體來說將plugins目錄下的插件分成5個(gè)或者10個(gè)1組，刪除看能否正常運(yùn)行peid。正常說明有問題的dll插件文件就在刪除的5個(gè)DLL文件中，然后再1個(gè)1個(gè)的恢復(fù)到plugins文件夾，直到找到問題dll文件。

5、我這里以5個(gè)DLL插件文件為一組進(jìn)行刪除，刪除后發(fā)現(xiàn)peid正常運(yùn)行，說明導(dǎo)致錯(cuò)誤的插件就在刪除的這個(gè)5DLL文件中。

6、然后一個(gè)一個(gè)的恢復(fù)到plugins目錄，看是否正常運(yùn)行peid，如果出現(xiàn)錯(cuò)誤就可以定位出有問題的DLL。結(jié)合上面的圖，我將xinfo.dll的文件復(fù)制到plugins目錄下，peid就不可以正常運(yùn)行了，說明xinfo.dll這個(gè)插件有問題。

7、刪除xinfo.dll后就可以正常使用peid。

方法二、使用虛擬機(jī)安裝可使用系統(tǒng)

基本上現(xiàn)在老的逆向工程類的工具，都可以正常的運(yùn)行于windows xp的系統(tǒng)，所以如果實(shí)在不能解決，則考慮在虛擬機(jī)安裝windows xp系統(tǒng) 。

更新日志

v0.94版本

1、加入PEID皮膚，美化界面

2、更新簽名庫【簽名大雜燴】

3、加入PESniffer,查看更精確

4、去除不適合新手與英文的插件

5、加入適合新手的插件

6、中文界面