基本简介
PEiD是很好用的查壳工具,可以很简单的知道软件是不是加了壳,有了这个PEiD 0.95,几乎可以侦测出软件所有的壳,其数量已超过470 种PE文档 的加壳类型和签名,另外PEiD还可识别出exe文件是用什么语言编写的,比如:VC++、Delphi、VB或Delphi等。
peid常见问题
PEiD打不开就停止工作的解决办法
方法一、特征码定位法删除问题插件
1、我这里以win10系统下的peid0.94版本为例。运行后提示已停止,如下图所示。
![peid](https://www.zmtpc.com/d/file/p/2024/07-04/ca377b76dad081cc2705a35eab5914b1.png)
![peid](https://www.zmtpc.com/d/file/p/2024/07-04/0e948d6fa5f5f00fa6cf58d53a7ad07d.png)
2、所谓特征码定位法,类似于早期远程控制软件的免杀操作,逐个的删除插件文件,定位出有问题的插件,将有问题插件删除后保证peid的正常运行 。具体来说,首先用户可以将peid下的plugins文件夹删除,看是否能正常运行。
![peid](https://www.zmtpc.com/d/file/p/2024/07-04/fca1222940e3d7974cdb0f4c1d1292bc.png)
3、删除plugins文件夹,正常运行peid0.94,说明问题出在plugins目录。但是plugins目录是很有用的,你不可能全部将其删除,所以需要定位有问题的DLL插件。
![peid](https://www.zmtpc.com/d/file/p/2024/07-04/6e43d8c742b7ad01d4c19ab5cdca3de0.png)
4、具体来说将plugins目录下的插件分成5个或者10个1组,删除看能否正常运行peid。正常说明有问题的dll插件文件就在删除的5个DLL文件中,然后再1个1个的恢复到plugins文件夹,直到找到问题dll文件。
![peid](https://www.zmtpc.com/d/file/p/2024/07-04/58a5aa1d4d0e8afcbb1119dc1e05cfe9.png)
5、我这里以5个DLL插件文件为一组进行删除,删除后发现peid正常运行,说明导致错误的插件就在删除的这个5DLL文件中。
![peid](https://www.zmtpc.com/d/file/p/2024/07-04/4fb85fb02c13f1dbd085258c6f116de5.png)
6、然后一个一个的恢复到plugins目录,看是否正常运行peid,如果出现错误就可以定位出有问题的DLL。结合上面的图,我将xinfo.dll的文件复制到plugins目录下,peid就不可以正常运行了,说明xinfo.dll这个插件有问题。
![peid](https://www.zmtpc.com/d/file/p/2024/07-04/ce2d587a7700f9ac816329c9672841f7.png)
7、删除xinfo.dll后就可以正常使用peid。
![peid](https://www.zmtpc.com/d/file/p/2024/07-04/5ac9895438fe20d8250d03ab4c3d6810.png)
方法二、使用虚拟机安装可使用系统
基本上现在老的逆向工程类的工具,都可以正常的运行于windows xp的系统,所以如果实在不能解决,则考虑在虚拟机安装windows xp系统 。
PEiD使用方法
1、PEiD最常用的插件就是脱壳,PEiD的插件里有个通用脱壳器,能脱大部分的壳,如果脱壳后import表损害,还可以自动调用ImportREC修复import表,点击"=>"打开插件列表,如图:
![peid](https://www.zmtpc.com/d/file/p/2024/07-04/7232e3e244f0901606e63992d4d69bce.jpg)
2、根据插件列表,还可以专门针对一些壳脱壳,效果比通用脱壳器会好
3、点击EP后的>可以展开Section块列表:
![peid](https://www.zmtpc.com/d/file/p/2024/07-04/25985f0deee5a14be126abfbade08f52.jpg)
4、再在Section块表上右击鼠标,可以看到以下菜单选项:
![peid](https://www.zmtpc.com/d/file/p/2024/07-04/e2fc3a48acc7e0cfe92323b172b549c3.jpg)
5、点击搜索全0处,会把所有块中全0的区块搜出来,这样我们可以在这些代码上加自己想加的code,非常方便:
![peid](https://www.zmtpc.com/d/file/p/2024/07-04/acb963365429e80b65c1c3dfbfaa4a2f.jpg)
6、直接用WinHex改就行了
peid功能介绍
1、正常扫描模式:PEiD可在PE文档的入口点扫描所有记录的签名;
2、深度扫描模式:可深入扫描所有记录的签名,这种模式要比上一种的扫描范围更广、更深入;
3、核心扫描模式:PEiD可完整地扫描整个PE文档,建议将此模式作为最后的选择。
PEiD内置有差错控制的技术,所以一般能确保扫描结果的准确性。前两种扫描模式几乎在瞬间就可得到结果,最后一种有点慢,原因显而易见。
peid安装步骤
1、双击在本站下载的PEiD安装包,点击【继续】
![peid](https://www.zmtpc.com/d/file/p/2024/07-04/17a61d22135b51ab2555dccaa5d77bce.jpg)
2、安装之前请阅读以下重要信息,然后点击【继续】
![peid](https://www.zmtpc.com/d/file/p/2024/07-04/b4a137f6b4923335f5c97cd4dd2b3e1a.jpg)
3、选择您要安装的位置,点击【继续】
![peid](https://www.zmtpc.com/d/file/p/2024/07-04/92463d27b80e7e82209d337d736e8de3.jpg)
4、选择开始菜单的文件夹位置。点击【继续】
![peid](https://www.zmtpc.com/d/file/p/2024/07-04/dfca6a9cf30aed83acc44c6a7d7ad0bc.jpg)
5、点击【安装】,安装程序继续…
![peid](https://www.zmtpc.com/d/file/p/2024/07-04/2ae2596a9d8546b63203b5fd5ab33122.jpg)
6、安装中…请耐心等待安装成功后就可以立即运行PEiD啦!
peid命令选项
●peid -time〓 显示信息
●peid -r〓 扫描子目录
●peid -nr〓 不扫描子目录
●peid -hard〓 采用核心扫描模式
●peid -deep〓 采用深度扫描模式
●peid -norm〓 采用正常扫描模式
peid更新日志
1:全新界面,清爽,简单,高效
2:性能越来越好