Voici le code Java qui effectue cette vérification : stackoverflow.com/a/35418180/875305

J'ai trouvé PE ]_ÙV dans une application WPF 32 bit.

@AnotherDayAnotherRob c'est intéressant. Techniquement, le type de machine est les deux octets après PE\0\0 Donc, en supposant que l'espace dans votre commentaire est les deux \0 octets, la valeur serait 0x5F5D ( 5D 5F si vous l'ouvrez dans HEX-editor à cause de l'endianness). Il n'y a rien qui ressemble à cette valeur dans Spécification Microsoft PE et COFF (section 2.3.1. Types de machines). Êtes-vous sûr d'avoir cherché au bon endroit ?

@AlexanderRevo ma faute, j'ai jeté un autre coup d'oeil au fichier et c'est PE L ]_ÙV (les espaces blancs sont des caractères non imprimables) Je n'avais pas remarqué le L la première fois. J'ai un upvote.

J'ai mon propre programme compilé (avec Delphi) en 32/64 bit et l'en-tête est identique ! !! Donc, cette méthode ne fonctionne pas toujours !

@SolarWind il n'existe pas d'exécutable 32/64 bit sous Windows. Vous le compilez probablement en 32 bits, ce qui fonctionne à la fois sur les systèmes 32 et 64 bits. Windows 64 bits peut exécuter des programmes 32 bits sans problème.

@AlexanderRevo : Il y a une option de compilation AnyCPU dans Visual Studio. Si c'était la même chose que de compiler pour 32 bits, pourquoi ajouter cette troisième option ?

@CoDEmanX cette option signifie que l'IDE ou le JIT fait le choix pour vous. Voir cette question ou ceci article de blog pour plus de détails.

C'est une solution assez fragile. Si vous comprenez les images PE, vous devriez voir immédiatement que le premier texte clair PE que vous trouvez dans un fichier peut ne pas être l'en-tête PE. De plus, sans contrat documenté, rien de tout cela n'est fiable, ni aujourd'hui, ni certainement à l'avenir. Désolé, -1.

Si vous aviez pris la peine de lire l'intégralité du message avant de le déclasser, vous auriez vu le lien vers le site suivant Microsoft PE and COFF Specification qui est un contrat aussi documenté que possible, ainsi que des instructions sur la manière de trouver l'adresse exacte de l'en-tête PE dans n'importe quel fichier de l'UE. .exe fichier. Si vous avez une source plus fiable que la spécification officielle de Microsoft sur son propre format d'exécutable, j'aimerais bien la connaître.

@AlexanderRevo : "Vérifier les premiers caractères imprimables après la première occurrence de PE" - C'est manifestement faux, non ? L'en-tête PE peut être partout dans le fichier. Et bien que le format du fichier PE soit documenté, le PIMAGE_DOS_HEADER ne l'est pas. De plus, juste sur la première page de ce soi-disant "spécification" vous trouverez : "Ce document est fourni pour aider au développement d'outils et d'applications pour Windows mais n'est pas garantie comme étant une spécification complète à tous égards. Microsoft se réserve le droit de modifier ce document sans préavis". . Le vote négatif est bien mérité, désolé.

Ne fonctionne pas pour moi sur un exe créé avec du code natif C++, visual studio 2013. En utilisant cette technique, on peut conclure qu'il est en 32 bits, mais en fait il est en 64 bits, et peut être vérifié par dumpbin et sigcheck.

@zumalifeguard puis-je avoir un aperçu de cet exe ?

Bien sûr, Alexander. Donne-moi ton adresse e-mail et je te l'enverrai. Si tu peux, tu peux me donner ton adresse e-mail sur Twitter.

@zumalifeguard Je n'arrive pas à vous contacter sur Twitter, et je ne suis pas vraiment fan de l'idée de donner mon email aux gens sur Internet (sans vouloir vous offenser). Pourriez-vous peut-être le télécharger sur une sorte de service de partage de fichiers, comme Google Drive, ou autre ? Merci.

@zumalifeguard Merci de m'avoir envoyé le fichier .exe. Je l'ai vérifié en utilisant ma technique et il montre PE d† qui est 64 bits, ce qui est exactement ce que mon message indique. Je ne sais pas pourquoi vous pensez que mon message suggère qu'il s'agit d'un 32 bits.

Dans le premier fichier que je vérifie, il n'y a pas de "PE", seulement "MZ", donc je suppose que cette solution n'est pas infaillible.

@NaturalBornCamper essayez de lancer une recherche réelle avec votre éditeur.

Oui, j'ai essayé avec Notepad++ ;) J'ai trouvé une autre méthode qui fonctionne à 100%, donc tout va bien, merci !

@NaturalBornCamper J'aimerais étudier ce .exe afin de rendre ma réponse plus précise, si cela ne vous dérange pas et si vous avez le temps de le télécharger quelque part, bien sûr. Je dois dire, cependant, que je n'ai pas encore vu un seul .exe pour lequel ma réponse n'a pas fonctionné (jusqu'à présent, il ne s'agissait que de personnes interprétant mal les résultats), alors excusez-moi si je suis un peu sceptique. Quoi qu'il en soit, mon but est de fournir des informations précises, donc j'apprécierais si vous pouviez m'aider à mettre la main sur ce .exe :)

Pour les fichiers qui commencent par "MZ", vous devez chercher un peu plus loin. J'ai trouvé PE...L à l'offset 0x110, juste après "RichMQ_........".

Ouvert avec l'éditeur hexagonal XVI32 sans aucun problème. Merci

Merci pour la technique ! Elle fonctionne pour moi, mais notez que cette affirmation dans votre réponse "l'offset de PE Signature est situé à l'offset 0x3C" n'est pas toujours correcte. L'EXE 32 bits de Doxygen, par exemple, a un en-tête PE à 0x108. Au cas où quelqu'un serait intéressé, cette commande aidera à appliquer cette technique sous Linux : hexdump -C <file> | grep 'PE' | head -n 5 (donne les 5 premières correspondances de 'PE' dans le fichier)

@codesniffer vous avez raison, cependant il est dit dans la réponse que "le décalage de la signature PE est situé à l'offset 0x3C", et non la signature elle-même.

C'était génial, merci mec ;)

@codesniffer : Joli. Si vous êtes malchanceux, PE pourrait être à la fin d'une ligne, cependant, non ? J'ai utilisé strings -n1 <file> | head .

@AlexanderRevo : Je ne comprends pas votre commentaire. Je voulais dire que PE pourrait se trouver en fin de ligne dans hexdump . Pour ce que ça vaut, la commande ci-dessus avec strings a bien fonctionné, et la sortie MZP @ ! L ! This program must be run under Win32 $7 PE L .

@EricDuminil ah, nvm, j'ai mal compris le vôtre :P

@AlexanderRevo - Merci d'avoir précisé que 0x3C spécifie le décalage de la signature PE. @EricDuminil - Oui, c'est certainement possible. On pourrait augmenter la commande pour inclure en plus la ligne suivante après chaque ligne avec 'PE' de hexdump : hexdump -C <file> | grep -A 1 'PE' | head -n 15 (donne les 5 premières correspondances de 'PE' dans le fichier, chacune étant suivie des 16 octets suivants)

Voici une version améliorée du script linux pour obtenir le type de machine en utilisant le décalage spécifique de 0x3C : QUERYFILE="MyWindowsExe.exe" ; hexdump -C -s $(hexdump -s 0x3C -n 4 -v -e '1/1 "%02x"' "$QUERYFILE" | sed -e 's/\(..\)\(..\)\(..\)\(..\)/0x\4\3\2\1/') -n 6 "$QUERYFILE" et voici un exemple de sortie pour un fichier 64 bits (doxygen.exe) : 00000118 50 45 00 00 64 86 |PE..d.|

Et voici une version encore plus améliorée qui analyse les valeurs des types 32 et 64 bits et affiche "64 bits" ou "32 bits" (ou si aucun n'est trouvé, elle affiche "ERROR : Failed to identify Windows PE machine type.") : QUERYFILE="MyWindowsExe.exe" ; PESIG=$(hexdump -C -s $(hexdump -s 0x3C -n 4 -v -e '1/1 "%02x"' "$QUERYFILE" | sed -e 's/\(..\)\(..\)\(..\)\(..\)/0x\4\3\2\1/') -n 6 "$QUERYFILE") ; echo "$PESIG" | grep ' 64 86' 2>/dev/null && echo "64-bit" || ( echo "$PESIG" | grep ' 4c 01' 2>/dev/null && echo "32-bit" || echo "ERROR: Failed to identify Windows PE machine type." )

Cette méthode ne fonctionne pas toujours correctement, C:\Windows\System32\Notepad.exe montre PE L mais est en fait 64 bits sous Windows.

@Shayan J'ai l'en-tête 64 bits correct dans notepad.exe sur mon Windows 10 20H2. Assurez-vous que vous regardez la toute première occurrence de PE dans le fichier. En cas de doute, vous pouvez vérifier avec un éditeur hexadécimal (voir "Informations complémentaires").

@AlexanderRevo Bonjour à nouveau ! Je suis sur Windows 10 ver1803, je ne sais pas pourquoi le tout premier PE pour moi est L. Regardez cette capture d'écran : i.imgur.com/uar1KVs.png Je l'ai chargé dans Notepad++. Mais comme vous l'avez mentionné, Hex Editor affiche PEd†, ce qui signifie 64 bits, alors je ne comprends pas pourquoi Notepad++ ne fonctionne pas bien ici. Merci beaucoup.

Quand je type & fc /b notepad.exe sur Win 10, j'obtiens MZÉ & 4D 5A 90 les en-têtes : C:\WINDOWS\SYSTEM32\NOTEPAD.EXE

J'aime cette réponse parce que notepad.exe est super simple ; j'ai pu trouver PE d etc... donc je sais maintenant que j'avais un binaire 64 bits. Je l'ai compilé via msys2 en fait. J'ai été surpris de voir que le .exe peut être déplacé. Peut-être qu'il pourrait même être utilisé pour compiler un énorme .exe contenant TOUTES LES CHOSES ! :D

Qu'en est-il pour les exécutables ARM ?