PE文件的封裝器檢測

Question

我想知道像Peid EXE工具或Protectid這樣的檢測器如何檢測PE文件的封裝器/保護。當一個程序打包時，我想也許有一些不變的價值，但我不太清楚。有人可以解釋我是如何發揮作用的，最好的方式就是在OllyDbg或其他Debugers中展示它。這對我來說真的很神祕，因爲這些程序可以檢測到這一點。

預先感謝您的任何事情！

Answer 1

大多數這些工具都是基於簽名的，並且有一些額外的啓發式。檢測編譯器（通過檢測編譯器啓動代碼和其他簽名）也是如此。檢測編譯器和保護器甚至更容易，因爲大多數保護器正在改變對打包應用程序進行解密/解壓縮的代碼部分。