peid 0.94優(yōu)化版 附使用教程

peid 0.94優(yōu)化版作為最強大的一個查殼工具，事實上也是peid 0.94破解版，此版本已經(jīng)完美激活，無功能限制，用戶可以有效地查出應(yīng)用程序所加殼的類型以及使用何編程語言編寫，探測大多數(shù)的 PE 文件封包器、加密器和編譯器。軟件主要利用查特征串搜索來完成識別工作的，各種開發(fā)語言都有固定的啟動代碼部分，利用這點可識別是何種語言編譯的，被加殼程序處理過的程序，在殼里會留下相關(guān)加殼軟件的信息，利用這點就可識別是保種殼所加密的，它提供了一個擴展接口文件userdb.txt ，用啟可以自定義一些特征碼，這樣可以識別出新的文件類型?，F(xiàn)在軟件越來越多的加殼了，給破解帶來非常大的不便，但是這個peid軟件可以檢測出 450種殼，非常方便，軟件增加病毒掃描功能，是目前各類查殼工具中，性能最強的，新增加WinNT平臺下的自動脫殼器插件，可以應(yīng)對現(xiàn)在大部分的軟件脫殼。

模式介紹

●正常掃描模式：

可在PE文檔的入口點掃描所有記錄的簽名；

●深度掃描模式：

可深入掃描所有記錄的簽名，這種模式要比上一種的掃描范圍更廣、更深入；

●核心掃描模式：

可完整地掃描整個PE文檔，建議將此模式作為最后的選擇。PEiD內(nèi)置有差錯控制的技術(shù)，所以一般能確保掃描結(jié)果的準確性。前兩種掃描模式幾乎在瞬間就可得到結(jié)果，最后一種有點慢，原因顯而易見。

peid軟件相關(guān)功能講解

1、程序主界面功能如下圖所示

2、選擇多文件掃描后出現(xiàn)如下界面

3、選擇查看進程后如下圖所示

4、選擇選項菜單后出現(xiàn)如下圖所示界面

注：四種掃描模式的說明

1、普通掃描：只掃描入口處，忽略擴展簽名庫中簽名的ep_only=選項

2、深度掃描：比普通掃描更廣，更深入，但如果擴展簽名庫中簽名的ep_only = true的話會忽略此條簽名

3、核心掃描：整個文件掃描，速度可能會慢，但同樣會忽略擴展簽名庫中簽名選項中ep_only = true的簽名

4、外部時掃描：使用外部簽名庫，但是使用以上三種掃描中的那一種取絕于選項中的選擇，如果選擇普通掃描，同樣只有外部簽名庫掃描文件入口處，深度掃描則用普通掃描和深度掃描都掃一遍，如果是核心掃描，那么將先普通，再深度，后核心的掃描順序進行掃描

5、選擇如右下角的擴展信息后如下圖所示

6、選對右下角的箭頭標志后如下圖所示

7、最后對PEID簽名庫中的簽名所下解釋（以下是兩條獨立的簽名庫，我們只對第一條作解釋）

注釋如下：

1、殼的名稱可以隨變寫，不影響查殼，但也不能亂寫，最起碼自已要知道能看懂吧?。?!

2、紅色圈出的簽名部分"signature= "之后的部分才是簽名，答名的提取是有講究的，其中"??"是不確定的值，也就是說這種殼此處的值可以每次都會有變化，比如對兩個文件同時加殼，此處的值可能會有兩個，所以此處就用雙問號表示（也就是一個字節(jié)），其化處當然是提取到是什么就添什么了。

3、藍色圈出部分中"ep_only= "是不變的，其后面可以取兩個值，true和false。當采用true的時候，任何掃描都只掃描程序入口，如果為false的時候，普通掃描同樣只掃入口，深度和核心掃描將根據(jù)各自的掃描深度對文件內(nèi)部代碼進行對比掃描

【常見問題】

PEiD打不開就停止工作的解決辦法

方法一、特征碼定位法刪除問題插件

1、我這里以win10系統(tǒng)下的peid0.94版本為例。運行后提示已停止，如下圖所示：

2、所謂特征碼定位法，類似于早期遠程控制軟件的免殺操作，逐個的刪除插件文件，定位出有問題的插件，將有問題插件刪除后保證peid的正常運行 。具體來說，首先用戶可以將peid下的plugins文件夾刪除，看是否能正常運行。

3、刪除plugins文件夾，正常運行peid0.94，說明問題出在plugins目錄。但是plugins目錄是很有用的，你不可能全部將其刪除，所以需要定位有問題的DLL插件。

4、具體來說將plugins目錄下的插件分成5個或者10個1組，刪除看能否正常運行peid。正常說明有問題的dll插件文件就在刪除的5個DLL文件中，然后再1個1個的恢復(fù)到plugins文件夾，直到找到問題dll文件。

5、我這里以5個DLL插件文件為一組進行刪除，刪除后發(fā)現(xiàn)peid正常運行，說明導致錯誤的插件就在刪除的這個5DLL文件中。

6、然后一個一個的恢復(fù)到plugins目錄，看是否正常運行peid，如果出現(xiàn)錯誤就可以定位出有問題的DLL。結(jié)合上面的圖，我將xinfo.dll的文件復(fù)制到plugins目錄下，peid就不可以正常運行了，說明xinfo.dll這個插件有問題。

7、刪除xinfo.dll后就可以正常使用peid。

方法二、使用虛擬機安裝可使用系統(tǒng)

基本上現(xiàn)在老的逆向工程類的工具，都可以正常的運行于windows xp的系統(tǒng)，所以如果實在不能解決，則考慮在虛擬機安裝windows xp系統(tǒng) 。

更新日志

v0.94版本

1、加入PEID皮膚，美化界面

2、更新簽名庫【簽名大雜燴】

3、加入PESniffer,查看更精確

4、去除不適合新手與英文的插件

5、加入適合新手的插件

6、中文界面