|
|
La pornirea programului aveti 3 tab-uri la dispozitie (in functie de informatiile care vreti sa le aflati):
1) General file Info
- marime fisier, extensie, primii 16 bytes in HEX si ASCII
- O optiune de analizat header-ul si continutul fisierului pentru a identifica mai exact ce fel de fisier este, care este extensia 'adevarata' a tipului de fisier respectiv si cu ce se deschide (La unele file type-uri am si URL referitor la el. Adica un link in care veti afla mai multe despre tipul de fisier respectiv, eventual sa downloadati software-ul cu care sa deschideti fisierul respectiv.)
Aceasta analizare se bazeaza pe semnaturile pe care le lasa fiecare program in fisierele create. Insa cum nu este intotdeauna deajuns doar semnatura programului care a creat fisierul respectiv, am facut sa analizeze continutul fisierului pentru rezultate mai precise.
Mentionez ca la fisierele de peste 100MB acest proces dureaza ceva timp (10s+), insa puteti sa sariti peste analizarea continutului fisierului.
La fiecare rezultat se va afisa si lungimea semnaturii dupa care a fost identificat tipul de fisier respectiv, iar cu cat este lungimea semnaturii mai mare cu atat este si probabilitatea mai mare ca acel tip de fisier sa corespunda cu fisierul analizat.
In baza de date am exact 2206 astfel de semnaturi de la tipuri de fisiere diferite.
----------------------------
2) Extension Info
Cum ii spune si numele, detalii despre extensia fisierului respectiv:
-Numele programului care a realizat fisierul respectiv si/sau functia extensiei.
-Clasificarea fisierului (Audio / Video / Game / etc...)
-tip MIME (application/exe, image/bmp, etc)
-Caractere identificatoare (un fel de semnatura)
-Program ID, Specificatii generale si Compania care a realizat programul 'vinovat' de crearea fisierului.
Nota: La Numele programului si la Companie veti gasi deseori link catre un site de unde aflati mai multe informatii despre program sau il downloadati.
Am exact 11209 extensii diferite in baza de date (exact cate is si pe http://www.filext.com ... hmm coincidenta? )
----------------------------
3) PE Info
{ Valabil doar la fisiere PE (Portable Executable) [ executabile - .EXE, .DLL, etc] }
Aici gasiti informatii despre structura si caracteristicile PE-ului respectiv (ImageBase, EntryPoint, CheckSum, Import Table [tabela de 'importuri'], Export Table [tabela de exporturi], Directoarele PE-ului [Export/Import Table, Resource, Exception, Security, Relocations, Debug Datas, Description, Global PTR, TLS table, Local Config, Bound Import, Import address table] si Sectiunile PE-ului cu parametrii fiecarei sectiuni[Name, RVA-Relative Virtual Address, Virtual Size, RAW Offset-File offset, RAW Size, Characteristics])
Unele informatii sunt 'sustrase' si cu ajutorul .DLL-ului PeLibrary.dll (creat de +Pumqara), insa cu modificari MAJORE aduse de mine (imbunatatiri desigur ) [sursa de la .DLL este freeware, in ASM]
Se poate afla si EntryPoint-ul (de unde incepe executia codului propriu zis al programului). Insa dupa cum stiti (sau nu), prin packuire/compresare/... se schimba acest EntryPoint. Asa ca i-am implementat si o functie de gasire a EntryPoint-ului Original (OEP) [necesita lansarea (automata desigur) a programului respectiv.]
Mai puteti afla cu ce packer/compresor/encriptor/compiler a fost procesat executabilul.
Am implementat si o functie de analizare hardcore a packer-ului/compiler-ului/... care a procesat fisierul. In cazul in care functia automata de gasire a packerului/compilerului/... nu gaseste nici un packer/compilier/encriptor/..., sau gaseste dar stiti ca nu acela este cel adevarat, atunci folositi aceasta 'analizare hardcore'. Citeste sectiunea de la EntryPoint si cauta dupa 'urme' lasate de packere/compilere/...
Desigur, va gasi mai multe, insa va specifica la fiecare lungimea semnaturii (in caractere) dupa care a identificat packerul/compilerul... respectiv. Cu cat lungimea este mai mare, cu atat creste si probabilitate ca acel packer/compiler/... sa fie cel care a procesat fisierul.
Am in baza de date peste 1000 de versiuni diferite de packere/compilere/encriptore/compresoare.
Daca programul deschis este deja in folosire nu veti putea accesa acest tab. Asa ca inchideti programul analizat inainte de analizarea lui.
P.S.: La aceasta categorie de informatii (PE Info) am explicat fiecare element in parte ce este (dati click pe label-ul elementului despre care vreti sa aflati informatii)
Cam atat ^_^
Ah.. inca ceva...
- Programul se incarca putin mai greu decat ar fi trebuit deoarece l-am pack-uit & compresat & protejat cu ... un program care ascunde 'Resursele' .EXE-ului, implementeaza protectie anti-debugging, etc
- Se adauga automat la Context Menu la toate tipurile de extensii (in HKEY_CLASSES_ROOT*). Deci cand vreti sa analizati un fisier anume: Click dreapta pe el / Analyze It!
History
Code:
v2.0:
- Codul a fost rescris, optimizat, se misca mult mai rapid
- Am redenumit "General info" in "Content info"
- Informatii noi in tabul "content info" (attribute, tip continut: binary/text, last accessed/modified, created)
- Algoritmul de detectare a continutului si cel pentru detectarea ultimului procesor/encriptor/packer/etc au fost imbunatatie, rezultate mai bune, mai rapide amandoua. De asemenea, ruleaza in threaduri separate, nu mai ingheata aplicatia principala
- La PE Info am adaugat informatii despre inca 2 directoare: Delay import descriptor si COM+ Runtime Header
- Mai multe informatii despre tabela de importuri, acum arata si Thunk offset si thunk value
- Mult mai multe informatii despre tabela de exporturi: RVA-ul si offsetul fiecarei functii, daca e forwarduita sau nu, numarul de functii/nume de funcii, adresele functiilor, numele original al librariei, etc
- La tabul "Content info" la analiza headerului si a continutului rezultatele sunt afisate in procentaje si se va selecta automat cel mai probabil tip de continut
- In urma analizei headerului si a continutului, in cazul in care extensia actuala a fisierului difera de cea mai probabila extensie, se va afisa un mesaj prin care se va atentiona userul si ii va oferi posibilitatea sa redenumeasca automat fisierul sa aibe extensia respectiva
- Se poate face drag and drop la fisiere direct din windows explorer in Analyze It!
- Am scos "Ignore sig length" de la content info de la analiza continutului
- Se pot vedea informatii complete despre caracteristicile fiecarei sectiuni din executabil
v1.1:
-Am scos installerul, nu avea nici un rost sa il las.
-Am pus si un checkbox "Windows styled border" care odata bifat, redeseneaza form-ul cu borderele (marigini & titlebar) cu cele default de la Windows, iar nebifat redeseneaza cu borderele facute de mine.
-Am reparat un bug: Apareau erori la scanarea "Hardcore packer/cryptor/compressor detection" datorita pack-uirii/protejarii .EXE-ului principal (AnalyzeIt.EXE) si felul in care gestionam resursele programului (am schimbat si packerul, in consecinta dimensiunea programului este putin mai mare)
-Am implementat si un Checkbox prin care specifici daca vrei sa fie sau nu la Conext Menu (la "Click dreapta"
-Indiferent de dimensiunea fisierului (chiar si 100GB) va sta doar 1-3 secunde sa analizeze continutul fisierului.
v1.0: Primul release public
Download: http://shockingsoft.com/download.php?ti ... lyzeIt.zip
|
|
