A–Z
Glossar
Verständliche Definitionen der Begriffe zum PE-Format und zur statischen Analyse, die im Blog vorkommen.
- Entropie (Shannon-Entropie)
- Ein Maß in Bit pro Byte von 0 bis 8 dafür, wie zufällig Daten wirken; Werte nahe 8 deuten auf komprimierte oder verschlüsselte Inhalte hin.
- Overlay (angehängte Daten)
- Daten hinter der letzten Section einer PE-Datei, die der Windows-Loader nicht abbildet: Installer-Payloads, Archive, Konfiguration, Signaturen.
- PDB-Pfad
- Der Pfad der Debug-Symboldatei im CodeView-Debug-Eintrag einer PE-Datei, der oft Ordner und Benutzernamen des Build-Rechners verrät.
- TLS-Callback
- Eine Funktion im Thread-Local-Storage-Verzeichnis einer PE-Datei, die Windows vor dem Entry Point sowie beim Start und Ende von Threads aufruft.
- Authenticode
- Microsofts Code-Signing-Format für PE-Dateien: eine PKCS-#7-Signatur über einen Hash der Datei, abgelegt in der Zertifikatstabelle.
- Imphash (Import-Hash)
- Ein MD5 über die geordnete Importliste einer PE-Datei, 2014 von Mandiant eingeführt, um Malware-Samples aus demselben Code zu gruppieren.
- Rich Header
- Ein undokumentierter, XOR-maskierter Block, den Microsoft-Linker in den DOS-Stub schreiben und der die verwendeten Compiler- und Linker-Builds auflistet.
- Importtabelle und IAT
- Die PE-Strukturen mit den benötigten DLL-Funktionen; der Loader löst sie auf und schreibt ihre Adressen in die Import Address Table (IAT).
- MZ-Header (MS-DOS-Header)
- Der 64-Byte-Header am Anfang jeder PE-Datei, der mit den Buchstaben MZ beginnt und dessen Feld e_lfanew auf den PE-Header zeigt.
- Optional Header
- Der PE-Header, der dem Windows-Loader sagt, wie das Image geladen und gestartet wird: PE32/PE32+, Entry Point, Subsystem, Flags, Datenverzeichnisse.
- PE-Format (Portable Executable)
- Das Dateiformat von Windows-Executables, DLLs, Treibern und EFI-Binaries: MS-DOS-Header, PE-Signatur, COFF- und Optional Header, Section-Tabelle.
- Section-Tabelle
- Die Liste der Sections einer PE-Datei – Name, virtuelle Adresse und Größe, Roh-Offset und -Größe, Rechte –, mit der die Datei in den Speicher kommt.