【亲测免费】 PE-sieve 使用教程

项目介绍

PE-sieve 是一个用于扫描和识别运行在系统中的恶意软件的工具。它能够识别并转储多种植入物，包括替换/注入的PE文件、shellcode、钩子和内存中的其他补丁。PE-sieve 旨在作为一个轻量级的引擎，一次扫描一个进程。它可以构建为EXE或DLL，DLL版本提供了一个简单的API，可以轻松集成到其他应用程序中。

项目快速启动

安装

首先，克隆PE-sieve仓库并获取子模块：

git clone --recursive https://github.com/hasherezade/pe-sieve.git

构建

进入PE-sieve目录并进行构建：

cd pe-sieve
make

使用

构建完成后，可以使用以下命令来扫描一个进程：

./pe-sieve.exe --pid <进程ID>

应用案例和最佳实践

案例一：检测和转储恶意植入物

假设你怀疑某个进程（PID为1234）被植入了恶意代码，你可以使用PE-sieve来扫描并转储这些植入物：

./pe-sieve.exe --pid 1234 --dump

案例二：集成到自动化工具

PE-sieve的DLL版本可以集成到自动化工具中，用于实时监控和检测恶意活动。以下是一个简单的示例代码：

#include "pe_sieve_api.h"

int main() {
    // 初始化PE-sieve
    pesieve::t_params params = {0};
    params.pid = 1234; // 要扫描的进程ID
    params.dump_mode = pesieve::PE_DUMP_AUTO;

    // 调用PE-sieve API
    pesieve::t_report report = pesieve::scan(params);

    // 处理报告
    if (report.flags & pesieve::REPORT_FLAG_DETECTED) {
        // 检测到恶意植入物
        // 进行进一步处理
    }

    return 0;
}

典型生态项目

HollowsHunter

HollowsHunter 是一个使用PE-sieve作为引擎的工具，专注于同时扫描多个进程或整个系统。如果你需要批量扫描进程，HollowsHunter是一个很好的选择。

MalUnpack

MalUnpack 提供快速解包提供的恶意软件样本的功能。它可以帮助分析人员快速获取恶意软件的原始代码。

通过这些工具和PE-sieve的结合使用，可以构建一个强大的恶意软件检测和分析系统。