caxapa.ru :: IDA? Самостоятельно анализатор заголовка написать?

Dingo (18.04.2017 06:00 - 06:19, просмотров: 226) ответил Ксения на Кто-нибудь может назвать программное средство, способное различать 16-разрядные (DOS), 32-разрядные и 64-разрядные приложения между собой, не запуская их? HEX-гляделки и дамп-генераторы для ручного колупания PE-хидера не предлагать!

IDA? Самостоятельно анализатор заголовка написать? https://ru.wikipedia.org/wiki/Portable_Executable

Ответить

- В 16-разных такого заголовка вообще нет. - Ксения(18.04.2017 09:23)
  - Ну как это нет? => Dingo(568 знак., 18.04.2017 09:38 - 09:43, ссылка)
    - В COM-файле, унаследованном от CP/M -- никаких заголовков нет. - fk0(18.04.2017 12:06)
      - С COM-файлом и проблем нет - у него расширение файла другое. - Ксения(18.04.2017 13:17)
    - Сигнатура MZ есть везде, только дальше у 32- и 64-разрядных идет PE-заголовок с данными, а у 16-разрядных на этом месте случайный мусор. Из-за этого даже Win7 иногда заглатывает некоторые 16-разрядные приложения, хотя должна их сразу выплевывать. Ксения(1410 знак., 18.04.2017 10:45 - 10:56)
      - Во всех Win_x86 (32 bit), включая Win10, есть подсистема NTVDM (NT Virtual DOS Machine), которая предназначена для корректного запуска и исполнения 16-битных экзешников. В Win10 (а может, и в Win7/8) ее следует активировать руками - в Programs and MBedder(113 знак., 18.04.2017 11:24)
      - Раз такое дело, то вероятней всего это NE или LE файл, причём по инфы из вики поведение больше похоже на NE. UPD: а может прицепите пример "вредного" файла? Dingo(996 знак., 18.04.2017 11:03 - 11:07)
        
        Вот она, программа 2000-го года => - Ксения(18.04.2017 11:22 - 13:52, ссылка)
        
        Win7 32-битная тоже запустилась. - Dingo(18.04.2017 11:39)
        
        Вернемся к моим баранам - сколько битная эта программа? - Ксения(18.04.2017 11:47)
        
        @0x50: This program must be run under Win32 - MBedder(18.04.2017 12:05)
        
        Нет в моей программе такого текста. А если бы был, то я бы и не маялась с определением ее принадлежности. - Ксения(18.04.2017 13:30)
        
        Эм... Вами присланный файл в просмотре. Dingo(18.04.2017 13:42)
        
        Я виноватая... спутала файлы, схожие по названию. Вот на этот файл мне нужна информация => - Ксения(18.04.2017 13:49, ссылка)
        
        Это галимый DOSовский 16-битный ЕХЕшник, запускается в Win32 с включенным NTVDM. Под Win7_x64 что говорит при попытке запуска? - MBedder(18.04.2017 14:15)
        
        А как вы узнали, что это "галимый DOSовский 16-битный ЕХЕшник"? Т.е. меня интересует средство распознавания гораздо больше, чем данный конкретный случай. - Ксения(18.04.2017 14:16 - 14:29)
        
        В нем нет расширенных заголовков. Только MZ-header - LightElf(18.04.2017 14:17)
        
        И как это вы узнали? В HEX-коды заглядывали? :) - Ксения(18.04.2017 14:18)
        
        file kaf1(66 знак., 18.04.2017 14:35, ссылка)
        
        Входит в комплект MinGW, работает. Остальное завернуть в *.bat или *.cmd Dingo(190 знак., 19.04.2017 07:27)
        
        Верно, file сработал. Однако 64-разрядные приложения он не понимает. То бишь, я так и не нашла ни одной программы, способной различать все ТРИ варианта EXE-файла. - Ксения(19.04.2017 07:55)
        
        Полагаю, задача уже решена, т.к. требовалось только отсеять MS-DOS. Если надо прямо все виды, то только самостоятельно писать своё "с преферансом и барышнями"(с) Хотя странно, что такой утилиты ~~нет~~ не нашли. - Dingo(19.04.2017 09:19)
        
        Именно. Под х64 не запустится - только виртуалку с DOS/XP/Win7_32 ставить. Рекомендую VirtualBox не новее 5.1.2 + Extension Pack + Guest Additions --> - MBedder(18.04.2017 14:32, ссылка)
        
        Можно что попроще попробовать - DOSBox. Я делал запуск TurboC 3.0 полностью из командной строки. Как раз для запуска под Вин64, чтобы современную IDE можно было использовать. - Dingo(18.04.2017 15:45)
        
        Нельзя. В пакете программ много, и работают они "паровозиком" - каждая следующая использует "выхлоп" предыдущей в качестве своих входных данных. И надо найти среди них 16-разрядных "крыс", которые всю малину портят при работе под Win7. А если Ксения(283 знак., 18.04.2017 16:08)
        
        Тогда однозначно ставить VB с дополнениями и налаживать виртуальную ХР, в которой и будет весь паровозик запускаться. Можно и Win7_32, но сначала лучше попробовать на натуре - MBedder(18.04.2017 16:12)
        
        А в вируальной среде сильно медленнее будет, чем в реальной? А то ведь мои клиенты именно затем и накупили себе крутых компьютеров, чтобы у них считало быстрее (на старой машите 20 часов одну задачу считало). А сейчас злые, как собаки :), из-за Ксения(94 знак., 18.04.2017 16:21)
        
        А может вооржиться IDA, распотрошить её (она умеет почтив готовый Си вроде), и переписать? Конечно, это другого класса задача. Но может тогда не только компьютер подарят? - Dingo(18.04.2017 17:28)
        
        У этой программульки сишный исходник нашла, скопиляла на Win32 и оно уже заработало. - Ксения(18.04.2017 18:27)
        
        Консольные "вычислители", как правило, в несколько раз тормознее, а вот графика всякая - почти как в родной среде - MBedder(18.04.2017 16:42)
        
        В данном случае графики не вообще, все приложения консольные - входной файл прочла, выходной файл записала, и так по кругу, пока одна из них скажет, что достаточно. А не слышали ли вы случаев, когда тормознутость при переходе с WinXP на Win7 Ксения(114 знак., 18.04.2017 17:04)
        
        Антивирус и Брандмауэр Windows отключить и проверить. Подсоединение data кабелей SATA проверить - De_User(18.04.2017 20:39)
        
        Много идей. С самого низа: железо тоже самое, или поменяли? Если тоже самое - то в сторону ОС копать. NTVDM, права, доступ к "железу" (его эмуляция). Dingo(52 знак., 18.04.2017 17:41)
        
        Все железо другое и совершенно новое, т.к. купили 8 системных блоков: 4 шт 8-ядерных AMD FX-8320E + 4 шт Intel Core i5-4460, оба на частоту 3.2 GHz. А раньше был (и остался) какой-то Core Duo (даже не i). Ну и обидно им, что 400 тыр заплатили, а Ксения(316 знак., 18.04.2017 18:23)
        
        Производительность "бульдозера" в однопоточном режиме чуть не в 1,5 раза меньше чем у Intel Core i5-4460 - AU08(18.04.2017 19:26, ссылка, ссылка)
        
        Вроде бы это не Бульдозер, а Piledriver. Но я в номенклатуре AMD-шных процессоров слабо разбираюсь. - Ксения(18.04.2017 19:52)
        
        Разницы почти нет: Piledriver - немного ускоренные наследники Bulldozer. AU08(507 знак., 18.04.2017 20:58 - 21:16, ссылка, картинка)
        
        Рукалицо... "Давайте купим что-нибудь дорогое, чтобы стало лучше". Напоминает американских президентов: "- Шеф, у нас проблемы, что будем делать? - Разбомбим кого-нибудь" :-))) - SciFi(18.04.2017 16:36)
        
        Про VirtualBox наслышана, но про "Extension Pack + Guest Additions" слышу в первый раз. - Ксения(18.04.2017 15:04)
        
        Это просто нужно скачать, ExtPack установить после установки VB, а Guest Additions - уже из установленной и запущенной гостевой ОС. Но для того, чтобы попить пива, не обязательно покупать всю пивоварню(с) - как уже сказали, DOSbox для запуска MBedder(40 знак., 18.04.2017 16:10)
        
        Конечно. Некоторые кривые утили могут на этом файле обломаться, потому что у него ненулевое значение по смещению 0x3C. - LightElf(18.04.2017 14:31)
        
        Это 16-bit DOS - LightElf(18.04.2017 14:13)
        
        PE explorer грит - 32-х. Но дату сборки написал аж 2023г. Dingo(18.04.2017 11:58)
        
        А PEFile32.exe не признает ее 32-битной. Короче говоря, сколько экспертов, столько и мнений. Поэтому актуально какое-то "официальное" средство идентификации. Ведь если разные форматы исполняемого кода объединили под одним именем EXE, а разные Ксения(119 знак., 18.04.2017 12:12)
        
        Обратиться к разработчику формата файлов? => если уж разработчик программы или компилятора недоступен. У меня других вариантов не осталось. А если компилятор заворачивает в 32-битный заголовок 16-битный код - это уже к разрабам компилятора и бить Dingo(137 знак., 18.04.2017 12:22 - 12:27, ссылка)
        
        В данном случае виноват не разработчик, а средства идентификации. У меня ваш PE Exploer вышибает на ошибку при попытке определить тип моей программы. А раз опыт не воспроизводится, то вашему результату я осмелюсь не поверить. Тем более что 2023 Ксения(24 знак., 18.04.2017 13:33)
        
        Прекрасно запускается под Win10_x64 - без параметров выдает Usage: 'ent2pdb <source file> <target file>'. Могу проверить полнее, если будет <source file> - MBedder(18.04.2017 11:30)
        
        А у меня на Win7x64 полный абордаж. Это либо Win10 такая умная, либо у вас включено что-то такое, что у меня не включалось. - Ксения(18.04.2017 11:43)
        
        ??? --> - SciFi(18.04.2017 11:45, ссылка)
        
        Да, вероятно, это самое. - Ксения(18.04.2017 11:49)
        
        Как это мило: "Также в 64-битных редакциях Windows запуск таких программ невозможен, т. к. 64-битные дескрипторы системы не могут быть урезаны до необходимых 16 бит." Можно было сказать "идите куда подальше со своими 16-битными программами", но SciFi(58 знак., 18.04.2017 11:26)

Средства и методы разработки