debugging - PE ファイルのパッカー検出

Question

Peid exe ツールや protectid などの検出ツールが pe ファイルのパッカー/保護を検出する方法を知りたいです。プログラムがパックされたときの定数値かもしれないと思ったのですが、よくわかりません。誰かがそれがどのように正確に機能するか、OllyDbg またはそのような他のデバッガーでそれを表示する最良の方法を説明できますか? これらのプログラムがそれをどのように検出できるかは、私にとって本当に謎です。

何から何までよろしくお願いします！

Answer 1

これらのツールのほとんどは、いくつかの追加のヒューリスティックが配置された署名ベースです。コンパイラの検出についても同じことが言えます（コンパイラの起動コードやその他のシグニチャを検出することによって）。ほとんどのプロテクターは、パックされたアプリケーションの復号化/解凍を行うコードの一部をモーフィングしているため、コンパイラーを検出してからプロテクターを検出する方がさらに簡単です。