AwesomeREA.org

工具

PE-sieve 进程内存植入扫描工具

hasherezade 开发的 Windows 进程扫描工具，可在单个运行中的进程里发现并转储植入内容：被替换或注入的 PE 模块、shellcode、内联钩子与 IAT 钩子以及其他内存补丁；README 列出的可检测技术包括 Process Hollowing、Process Doppelgänging 和反射式 DLL 注入。可选功能包括按特征模式或统计方法检测 shellcode，扫描线程调用栈、不可执行内存页以及加密或混淆内容，选择转储模式并为转储的 PE 恢复导入表，生成 minidump 和 JSON 报告。它可构建为 EXE、提供简单 API 的 DLL（Python、Go 和 Rust 绑定均基于该 API）或静态库，也是 HollowsHunter 和 MalUnpack 的扫描引擎。

使用条件与局限

  • 审阅时最新版本为 v0.4.1.1，发布于 2025-09-13，提供 32 位和 64 位 EXE 与 DLL；README 还列出 Chocolatey 和 Scoop 软件包。所审阅的 master 提交（2026-06-06）标注版本 0.4.1.5，因此固定的源码可能包含尚未发布的改动。PE-sieve 在 Windows 上运行，每次按 PID 扫描一个进程；扫描多个进程或整个系统需使用独立的 HollowsHunter。
  • 从源码构建使用 CMake 3.12+（或 MinGW 构建脚本），需递归克隆 libpeconv、paramkit 和 sig_finder 子模块，并可选择构建 EXE、DLL 或静态库。仓库中的 Python 绑定以及独立的 Go 和 Rust 绑定会从 PESIEVE_DIR 或当前目录加载 pe-sieve32.dll 或 pe-sieve64.dll。可选的符号下载功能会为被扫描模块获取符号。
  • 输入是分析者所掌控机器上正在运行的进程；README 将结果描述为供进一步分析而收集的可能恶意的内容，因此检测结果和转储文件都需要人工复核。AppVeyor 构建 x86 与 x64 的 Release 和 Debug 配置，其唯一的 CTest 检查是运行 pe-sieve -? 并确认输出版本字符串；GitHub 工作流只发布 Doxygen 文档。本次未扫描任何进程。
  • 采用 BSD-2-Clause 许可证（LICENSE，2017-2026 @hasherezade）；各子模块保留其自身许可证。

关于此条目

类型
工具
类别
调试与动态分析
关联
基础工具
目标
二进制

来源复核于

说明已依据一手来源复核；这不代表已运行验证、经过安全审计或确认兼容。

报告条目过时 建议修正翻译

一手来源

  1. README.md GitHub · hasherezade/pe-sieve · 修订 98788a6
  2. params.h GitHub · hasherezade/pe-sieve · 修订 98788a6
  3. CMakeLists.txt GitHub · hasherezade/pe-sieve · 修订 98788a6
  4. pe_sieve_ver_short.h GitHub · hasherezade/pe-sieve · 修订 98788a6
  5. .gitmodules GitHub · hasherezade/pe-sieve · 修订 98788a6
  6. bindings/README.md GitHub · hasherezade/pe-sieve · 修订 98788a6
  7. .appveyor.yml GitHub · hasherezade/pe-sieve · 修订 98788a6
  8. .github/workflows/main.yml GitHub · hasherezade/pe-sieve · 修订 98788a6
  9. LICENSE GitHub · hasherezade/pe-sieve · 修订 98788a6
  10. https://github.com/hasherezade/pe-sieve/releases/tag/v0.4.1.1

同分区更多条目：原生二进制

原生二进制分区全部 86 项资源