peid 0.94优化版 附使用教程

这篇文章主要介绍了PEiD 0.94优化版这个查壳工具的功能和特点。作为一款强大的查壳软件，它的功能非常全面，不仅可以识别应用程序所加的壳类型以及编程语言，还能探测各种PE文件打包器、加密器和编译器。文章详细说明了软件的工作原理，比如通过特征串搜索来识别壳类型，并支持自定义特征码库，方便用户扩展功能。

此外，文章还介绍了三种扫描模式：普通扫描、深度扫描和核心扫描，分别适用于不同的检测需求。新增的WinNT平台下的自动脱壳器插件也是一大亮点，能够应对大部分软件的脱壳需求。软件界面友好，支持多文件扫描和进程查看等功能。

文章还提供了解决PEiD无法正常运行的问题方法，比如删除有问题的插件或使用虚拟机安装Windows XP系统。更新日志部分提到加入了皮肤美化界面、中文界面以及适合新手的插件，进一步提升了用户体验。

总的来说，这篇文章详细介绍了PEiD 0.94优化版的功能和使用技巧，对于需要逆向分析或软件破解的人来说，这是一款非常实用的工具。不过需要注意的是，在使用时要遵守相关法律法规，避免用于非法用途。

peid 0.94优化版作为最强大的一个查壳工具，事实上也是peid 0.94破解版，此版本已经完美激活，无功能限制，用户可以有效地查出应用程序所加壳的类型以及使用何编程语言编写，探测大多数的 PE 文件封包器、加密器和编译器。软件主要利用查特征串搜索来完成识别工作的，各种开发语言都有固定的启动代码部分，利用这点可识别是何种语言编译的，被加壳程序处理过的程序，在壳里会留下相关加壳软件的信息，利用这点就可识别是保种壳所加密的，它提供了一个扩展接口文件userdb.txt ，用启可以自定义一些特征码，这样可以识别出新的文件类型。现在软件越来越多的加壳了，给破解带来非常大的不便，但是这个peid软件可以检测出 450种壳，非常方便，软件增加病毒扫描功能，是目前各类查壳工具中，性能最强的，新增加WinNT平台下的自动脱壳器插件，可以应对现在大部分的软件脱壳。

模式介绍

●正常扫描模式：

可在PE文档的入口点扫描所有记录的签名；

●深度扫描模式：

可深入扫描所有记录的签名，这种模式要比上一种的扫描范围更广、更深入；

●核心扫描模式：

可完整地扫描整个PE文档，建议将此模式作为最后的选择。PEiD内置有差错控制的技术，所以一般能确保扫描结果的准确性。前两种扫描模式几乎在瞬间就可得到结果，最后一种有点慢，原因显而易见。

peid软件相关功能讲解

1、程序主界面功能如下图所示

2、选择多文件扫描后出现如下界面

3、选择查看进程后如下图所示

4、选择选项菜单后出现如下图所示界面

注：四种扫描模式的说明

1、普通扫描：只扫描入口处，忽略扩展签名库中签名的ep_only=选项

2、深度扫描：比普通扫描更广，更深入，但如果扩展签名库中签名的ep_only = true的话会忽略此条签名

3、核心扫描：整个文件扫描，速度可能会慢，但同样会忽略扩展签名库中签名选项中ep_only = true的签名

4、外部时扫描：使用外部签名库，但是使用以上三种扫描中的那一种取绝于选项中的选择，如果选择普通扫描，同样只有外部签名库扫描文件入口处，深度扫描则用普通扫描和深度扫描都扫一遍，如果是核心扫描，那么将先普通，再深度，后核心的扫描顺序进行扫描

5、选择如右下角的扩展信息后如下图所示

6、选对右下角的箭头标志后如下图所示

7、最后对PEID签名库中的签名所下解释（以下是两条独立的签名库，我们只对第一条作解释）

注释如下：

1、壳的名称可以随变写，不影响查壳，但也不能乱写，最起码自已要知道能看懂吧！！ !

2、红色圈出的签名部分"signature= "之后的部分才是签名，答名的提取是有讲究的，其中"??"是不确定的值，也就是说这种壳此处的值可以每次都会有变化，比如对两个文件同时加壳，此处的值可能会有两个，所以此处就用双问号表示（也就是一个字节），其化处当然是提取到是什么就添什么了。

3、蓝色圈出部分中"ep_only= "是不变的，其后面可以取两个值，true和false。当采用true的时候，任何扫描都只扫描程序入口，如果为false的时候，普通扫描同样只扫入口，深度和核心扫描将根据各自的扫描深度对文件内部代码进行对比扫描

【常见问题】

PEiD打不开就停止工作的解决办法

方法一、特征码定位法删除问题插件

1、我这里以win10系统下的peid0.94版本为例。运行后提示已停止，如下图所示：

2、所谓特征码定位法，类似于早期远程控制软件的免杀操作，逐个的删除插件文件，定位出有问题的插件，将有问题插件删除后保证peid的正常运行 。具体来说，首先用户可以将peid下的plugins文件夹删除，看是否能正常运行。

3、删除plugins文件夹，正常运行peid0.94，说明问题出在plugins目录。但是plugins目录是很有用的，你不可能全部将其删除，所以需要定位有问题的DLL插件。

4、具体来说将plugins目录下的插件分成5个或者10个1组，删除看能否正常运行peid。正常说明有问题的dll插件文件就在删除的5个dll文件中，然后再1个1个的恢复到plugins文件夹，直到找到问题dll文件。

5、我这里以5个DLL插件文件为一组进行删除，删除后发现peid正常运行，说明导致错误的插件就在删除的这个5DLL文件中。

6、然后一个一个的恢复到plugins目录，看是否正常运行peid，如果出现错误就可以定位出有问题的DLL。结合上面的图，我将xinfo.dll的文件复制到plugins目录下，peid就不可以正常运行了，说明xinfo.dll这个插件有问题。

7、删除xinfo.dll后就可以正常使用peid。

方法二、使用虚拟机安装可使用系统

基本上现在老的逆向工程类的工具，都可以正常的运行于windows xp的系统，所以如果实在不能解决，则考虑在虚拟机安装windows xp系统 。

更新日志

v0.94版本

1、加入PEID皮肤，美化界面

2、更新签名库【签名大杂烩】

3、加入PESniffer,查看更精确

4、去除不适合新手与英文的插件

5、加入适合新手的插件

6、中文界面