以下是使用Python的`pefile`库自动化分析PE文件导入函数的完整方案，针对您的`static.exe`样本： --- ### 一、自动化分析脚本 ```python import pefile import pandas as pd def analyze_imports(pe_path): try: pe = pefile.PE(pe_path) print(f"[+] 文件架构: {'32位' if pe.FILE_HEADER.Machine == 0x14C else '64位'}") print(f"[+] 入口点: 0x{pe.OPTIONAL_HEADER.AddressOfEntryPoint:X}") # 提取所有导入函数 imports = [] if hasattr(pe, 'DIRECTORY_ENTRY_IMPORT'): for entry in pe.DIRECTORY_ENTRY_IMPORT: dll = entry.dll.decode() for imp in entry.imports: func = imp.name.decode() if imp.name else f"Ordinal_{imp.ordinal}" imports.append({ 'DLL': dll, 'Function': func, 'RVA': f"0x{imp.address:X}", 'Hint': imp.hint }) # 生成报告 if imports: df = pd.DataFrame(imports) print("\n[+] 导入函数列表:") print(df.to_string(index=False)) # 重点检测WinExec win_exec = df[df['Function'].str.contains('WinExec')] if not win_exec.empty: print("\n[!] 检测到敏感API调用:") print(win_exec) else: print("[-] 未找到导入表") except Exception as e: print(f"[-] 分析失败: {str(e)}") finally: pe.close() if __name__ == '__main__': analyze_imports('static.exe') ``` --- ### 二、关键分析点说明 1. **架构识别** - `pe.FILE_HEADER.Machine`值： - `0x14C` → 32位PE - `0x8664` → 64位PE 2. **WinExec定位** - 脚本会自动检测包含"WinExec"的函数条目 - 输出示例： ``` [!] 检测到敏感API调用: DLL Function RVA Hint KERNEL32 WinExec 0x402000 1234 ``` 3. **高级扩展** 添加以下代码可分析调用参数： ```python # 在检测到WinExec后追加 if not win_exec.empty: print("\n[DEBUG] 可能的字符串参数:") for section in pe.sections: if b"calc.exe" in section.get_data(): print(f" 发现字符串在 {section.Name.decode().strip()} 节区") ``` --- ### 三、安装与运行 1. 安装依赖： ```bash pip install pefile pandas ``` 2. 保存为`pe_analyzer.py`后运行： ```bash python pe_analyzer.py ``` --- ### 四、典型输出示例 ``` [+] 文件架构: 32位 [+] 入口点: 0x1000 [+] 导入函数列表: DLL Function RVA Hint KERNEL32 ExitProcess 0x401000 123 KERNEL32 WinExec 0x402000 456 USER32 MessageBoxA 0x403000 789 [!] 检测到敏感API调用: DLL Function RVA Hint KERNEL32 WinExec 0x402000 456 [DEBUG] 可能的字符串参数: 发现字符串在 .rdata 节区 ``` ---