Readpe — это дизассемблер и анализатор PE-файлов. Его ключевое преимущество — кроссплатформенность. Многие аналогичные инструменты заточены под Windows, а readpe компилируется и работает в средах Linux, что делает его незаменимым в арсенале специалистов, которые предпочитают или вынуждены проводить анализ на Unix-подобных системах.
⚡Чем Readpe отличается от других утилит (например, от стандартного objdump)?
- Инструмент сфокусирован исключительно на формате PE. Он предоставляет информацию обо всех критически важных частях файла: заголовках DOS и PE, секциях, таблице импорта и экспорта, ресурсах, отладочной информации и сертификатах.
- Инструмент выводит информацию в отформатированном виде, что значительно ускоряет ее восприятие и анализ по сравнению.
- Readpe может дизассемблировать секции кода, преобразуя машинные инструкции в читаемый ассемблерный код.
▶️Устанавливаем
git clone https://github.com/mentebinaria/readpe.git
cd readpe
sudo make install
echo "/usr/local/lib" | sudo tee /etc/ld.so.conf.d/libpe.conf
sudo ldconfig
▶️Проверяем
readpe --h
▶️Общая информация о файле
Ключ
-H выводит сводную информацию из заголовковreadpe -H notepad.exe
Вывод покажет архитектуру (
x86/x64
), точку входа, характеристики файла, размеры секций и другую метаинформацию.
▶️ Анализ таблицы импорта
Одна из самых востребованных функций. Какие внешние библиотеки и функции использует программа?
readpe -i notepad.exe
Вы увидите список всех импортированных
DLL
(например,
KERNEL32.DLL, USER32.DLL, GDI32.DLL
) и конкретных функций из них (
CreateFile, MessageBox, GetSystemTime и т.д.
). Это мгновенно дает понимание о потенциальных возможностях анализируемого файла.
▶️Просмотр секций
Ключ
-S отображает все секции файла (.text, .data, .rdata, .rsrc и др.).readpe -S notepad.exe
В выводе вы найдете имена секций, их виртуальные и физические размеры, атрибуты доступа. Это важно для оценки, например, наличия нестандартных или исполняемых секций с атрибутом на запись — частый признак уязвимости или зловредной техники.