Detect-It-Easy 快速上手：3 步完成从文件识别到加壳检测的完整工作流-云帆数科

Detect-It-Easy 快速上手3 步完成从文件识别到加壳检测的完整工作流【免费下载链接】Detect-It-EasyProgram for determining types of files for Windows, Linux and MacOS.项目地址: https://gitcode.com/gh_mirrors/de/Detect-It-EasyDetect-It-EasyDiE是一款跨平台的文件识别与静态分析工具覆盖 PE、ELF、APK、IPA、DEX、JAR、ISO9660、Mach-O 等 15 种以上格式并能进一步报出文件的编译器、链接器、加壳器和混淆方案。它最适合经常接触未知二进制的人逆向、恶意软件分诊、安全审计场景下手上一份可疑样本需要三秒内回答这是什么、被谁加工过它就是第一件要拿出来的工具。跑起来一条 diec 命令拿到第一个有效结果DiE 提供三个入口die图形界面、diec命令行、diel轻量 GUI。命令行最适合验证和自动化安装也最省事Windows 上 chocolatey 有die包Arch Linux 的 AUR 有detect-it-easy-gitLinux 环境下也可以不装任何东西直接在容器里跑仓库自带的docker/diec.sh [文件名]。装好之后先跑一次深度扫描。下面的-r开启递归扫描-d开启深度扫描这条命令就是对单个文件做一次彻底检查diec -rd sample.exe如果样本是一个用 MinGW 编译、被 ASPack 加壳的程序输出就是四行PE32 格式、Packer: ASPack(2.12-2.42)、Compiler: MinGW、Linker: GNU linker ld。类型、壳、编译器一次给齐这就是第一个有效结果。常用选项都在diec -h里值得记住的几个-u开启发式扫描长参数--heuristicscan-e输出熵值-i输出文件信息-S Hash附加哈希-j输出 JSON。批量场景最常用的组合是递归加 JSONdiec -r -j /path/to/samples/ report.json扫描结果直接落成 JSON方便接进自己的报告或研判流水线。看明白签名启发式双引擎怎么协同跑通了下一个问题是DiE 凭什么报出这些结果核心是两层机制在协同。第一层是签名数据库。db/目录按格式组织db/PE/下有 900 多个.sg文件db/MSDOS/有 300 多个。每个.sg其实是一个 DiE-JS 脚本模块用meta(packer, UPX)声明自己识别什么然后在detect()里做条件判断——字节模式、节区名、导入表对上就置bDetected true。字节模式是一门小语言十六进制按字面匹配??是通配符文本用单引号包裹$处理相对跳转完整语法在help/Signatures.md。这一层快、精确每条命中都是明确的规则匹配。第二层是启发式引擎。PE 方向上它是 DosX 维护的完整分析引擎纯静态工作文件不落地运行引擎遍历文件头、数据目录、节区、导入导出、资源、.NET 元数据和入口点可达代码检查反分析、解包器特征、自修改代码等异常。它和签名层的关键区别签名层启发式层结论来源精确规则匹配结构、字节码、资源等多证据关联结果标记直接列入结果一律带(Heur)前缀角色告诉你像什么佐证、补充甚至纠正签名结论最后一行很关键。启发式结果永远不会和签名结果混在一起特定情况下它会推翻误导性的签名——比如编译器签名指向 C/C而结构和运行时证据指向 Rust最终输出就是(Heur) Language: Rust。启用后它作为独立的高层分析运行配合-bverbose加-u可以看到最完整的证据链。上图里 Protector: .NET Reactor 是签名命中红色(Heur)行是启发式推断的混淆、反分析、打包器特征且每条都带证据说明。GUI 里还能同时跑多套独立引擎DiE 本体、Nauz File DetectorNFD、YARA以及经典老工具 PEiD规则库在peid_rules/。它们的输出是互补关系——三个引擎同时命中一条弱签名也不会变成证明。️ 玩出花三个进阶玩法写一条 DiE-JS 规则抓自己的目标场景你发现某个私有加壳工具主签名库里没有它产出的文件都带一个叫upxd的节区。DiE 签名系统完全开放不用动主库把规则文件放进自定义规则目录db_custom/即可。最小规则就几行meta(packer, MyPacker); function detect() { if (PE.isSectionNamePresent(upxd)) { sVersion 1.0; bDetected true; } return result(); }你会看到下次扫描该文件时结果里多出一条 MyPacker (1.0) 的记录。结果字段由引擎提供不能重复声明bDetected标记命中sVersion/sOptions填版本和限定词sLang附加语言结论。动手前先读help/Global.md的全局函数和你目标格式对应的 API 文档比如help/PE.md再看help/Signatures.md的模式参考——字节模式不是正则表达式别拿正则的习惯去写。YARA 规则直接挂进来扫场景你手里有一套恶意家族的 YARA 规则想和 DiE 扫描一起跑。yara_rules/目录是默认规则库DiE 自带DiE_BasicHeuristics_by_DosX.yar、DiE_EnhancedHeuristics_by_DosX.yar等几套规则做交叉验证把自己的.yar放进来或在 GUI 的 YARA 标签页加载文本、字节、逻辑条件都支持。GUI 里还有独立的 Signature 搜索窗口输入字节模式点 Scan返回所有匹配偏移和地址适合快速验证一条新规则在样本上的落点。多窗口 GUI 里深挖结构场景命令行说有壳你想亲眼看一遍确认。用die图形界面打开同一个文件是一组多面板视图Visualization 把节区熵值画成热力图高熵的压缩或加密节区一眼就能看出来Strings 按编码和最小长度过滤提取字符串找 C2 域名、硬编码配置最常用Hex、Disasm、Import、Memory map 各自独立成窗口互不干扰。热力图字符串导入表这个组合是恶意软件分诊里出活最快的三板斧。⚠️ 排雷与取舍几个容易踩的坑先说清楚别手改dbs_min/那是生成产物规则要改就改db/或db_custom/再重新生成。db_extra/里是没被批准进主库的规则官方明确不建议拿它当质量参考抄规则时绕开。启发式结果不是杀毒判定DiE 不是杀毒软件没报警只代表启用的规则没找到它认识的静态证据。启发式结论是线索不是恶意证明动态分析和信誉服务回答的是别的问题。性能上有取舍启发式扫描是独立的一组分析通道大目录批量扫的时候按需开-u别默认全开写规则时先用廉价的结构条件做门槛再做昂贵的字节搜索——这是社区 review 时的硬性性能要求。多条弱命中不等于强证据多个引擎同时报一条弱签名只是多个弱证据GUI 里对这一点也明确提示。和同类工具放一起看维度Detect-It-EasyPEiDExeinfo PE平台Windows / Linux / macOS仅 Windows仅 Windows规则体系开放DiE-JS 脚本可扩展固定数据库固定数据库启发式分析独立引擎结论带证据标记基础有限批量自动化diec JSON/XML/CSV 输出有限有限顺带一提DiE 本身就内置了经典 PEiD 引擎peid_rules/但把它当第二证据用——老数据库里噪声签名不少。什么情况下它不是最优选择需要动态行为、沙箱 detonation 或杀毒式判定DiE 干不了只是算个哈希或查哈希任何哈希工具都比它快。下一步建议拿一份你手上的真实样本先跑diec -rd确认壳和编译器然后翻help/PE.md找一个 API在db_custom/里写出你的第一条规则——CONTRIBUTING.md里对规则和性能的完整要求正好是这次练习的标准答案。【免费下载链接】Detect-It-EasyProgram for determining types of files for Windows, Linux and MacOS.项目地址: https://gitcode.com/gh_mirrors/de/Detect-It-Easy创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考

企业数字化 ERP 产品动态

相关推荐

ExplorerPatcher 完整教程：Win11 还原 Win10 经典任务栏与开始菜单

ExplorerPatcher 完整教程：Win11 还原 Win10 经典任务栏与开始菜单【免费下载链接】ExplorerPatcher This project aims to enhance the working environment on Windows 项目地址: https://gitcode.com/GitHub_Trending/ex/ExplorerPatcher Win11 把任务栏… · 2026/11/4 15:36:36

炉石 HsMod 完整使用指南：BepInEx 安装、功能域详解与安全边界

炉石 HsMod 完整使用指南：BepInEx 安装、功能域详解与安全边界【免费下载链接】HsMod Hearthstone Modification Based on BepInEx 项目地址: https://gitcode.com/GitHub_Trending/hs/HsMod HsMod 是一款基于 BepInEx 的炉石传说（Hearthstone&a… · 2026/11/4 15:36:36

反侦测浏览器 Camoufox 从 0 到跑通：反爬检测的完整指南

反侦测浏览器 Camoufox 从 0 到跑通：反爬检测的完整指南【免费下载链接】camoufox 🦊 Anti-detect browser 项目地址: https://gitcode.com/gh_mirrors/ca/camoufox 凌晨两点，爬虫脚本跑了三天，第四天突然全线失效&#x… · 2026/11/4 15:36:36

MTP 推测解码 vs Mobius 知识-推理解耦：书生 S2 家族的两条提速路线，哪条更香

MTP 推测解码 vs Mobius 知识-推理解耦：书生 S2 家族的两条提速路线，哪条更香【免费下载链接】Intern-S2-397B 项目地址: https://ai.gitcode.com/InternLM/Intern-S2-397B 自研模型的军备竞赛走到今天，单纯堆参数已经不再是最性感的… · 2026/11/4 16:13:00

class-validator 验证的5个开关：如何让错误只出现在该出现的地方

class-validator 验证的5个开关：如何让错误只出现在该出现的地方【免费下载链接】class-validator Decorator-based property validation for classes. 项目地址: https://gitcode.com/gh_mirrors/cl/class-validator 更新用户资料的接口，有时 a… · 2026/11/4 16:11:59

March7thAssistant 上手指南：3 步跑通星穹铁道日常自动化

March7thAssistant 上手指南：3 步跑通星穹铁道日常自动化【免费下载链接】March7thAssistant 日常交给三月七，开拓留给你。《崩坏：星穹铁道》开源自动化助手。项目地址: https://gitcode.com/gh_mirrors/ma/March7thAssistant March… · 2026/11/4 16:11:59

Boxer CLI参数速查表：从阈值到精度，所有命令行选项一次讲透

【免费下载链接】boxer Code for the Boxer research paper 项目地址： https://gitcode.com/gh_mirrors/boxer13/boxer 点击查看免费下载 Boxer 是一个将开放世界 2D 检测框"抬升"（lifting）为 3D 方向包围盒（OBB&… · 2026/11/4 16:11:59

REA：本地 AI 逆向工程指南，用 1 条命令看清竞品应用的内部实现

REA：本地 AI 逆向工程指南，用 1 条命令看清竞品应用的内部实现【免费下载链接】rea Reverse engineer anything with agents, from app behavior down to native binaries. 项目地址: https://gitcode.com/GitHub_Trending/rea2/rea 你在别人的 … · 2026/11/4 16:11:59

chinese-xinhua 完整指南：免费构建中文语言知识库的终极方案

chinese-xinhua 完整指南：免费构建中文语言知识库的终极方案【免费下载链接】chinese-xinhua :orange_book: 中华新华字典数据库。包括歇后语，成语，词语，汉字。项目地址: https://gitcode.com/gh_mirrors/ch/chinese-xinhua … · 2026/11/4 16:10:58

双极步进电机控制实战：DRV8818PWPR与PIC18F86K22驱动调试

/* MD / 富文本中的 .toc（含博客园搬家等嵌套结构）；.toc-box 在侧栏，不受影响 */#content_views .toc,/* 编辑器常在目录前后插入空 p（:empty 仍占 20px），一并去掉避免顶空隙 */#content_views.markdown_views > p:empty:has(+ .toc),#content_views.markdown_views … · 2026/11/4 3:16:49