Python檢測PE所啟用保護方式詳解

2022-10-10 14:01:15

Python 通過pywin32模組呼叫WindowsAPI介面，實現對特定程序載入模組的列舉輸出並檢測該PE程式模組所啟用的保護方式，此處列舉輸出的是當前正在執行程序所載入模組的DLL模組資訊，需要使用者傳入程序PID才可實現輸出。

首先需要安裝兩個依賴包：
pip install pywin32
pip install pefile

然後再命令列模式下執行命令啟動列舉功能。

# By: LyShark
import win32process
import win32api,win32con,win32gui
import os,pefile,argparse

def Banner():
    print("  _          ____  _                _    ")
    print(" | |   _   _/ ___|| |__   __ _ _ __| | __")
    print(" | |  | | | ___ | '_  / _` | '__| |/ /")
    print(" | |__| |_| |___) | | | | (_| | |  |   < ")
    print(" |_______, |____/|_| |_|__,_|_|  |_|_\")
    print("       |___/                             n")
    print("E-Mail: me@lyshark.com")

def GetProcessModules(pid):
    ModuleList = []
    handle   = win32api.OpenProcess(win32con.PROCESS_ALL_ACCESS, False, pid )
    hModule  = win32process.EnumProcessModules(handle)
    for item in hModule:
        Module_Addr = hex(item)
        Module_Path = win32process.GetModuleFileNameEx(handle,item)
        Module_Name = os.path.basename(str(Module_Path))
        ModuleList.append([Module_Addr,Module_Name,Module_Path])
    win32api.CloseHandle(handle)
    return ModuleList

def CheckModulesProtect(ClassName):
    UNProtoModule = []
    if type(ClassName) is str:
        handle = win32gui.FindWindow(0,ClassName)
        threadpid, procpid = win32process.GetWindowThreadProcessId(handle)
        ProcessModule = GetProcessModules(int(procpid))
    else:
        ProcessModule = GetProcessModules(int(ClassName))
    print("-" * 100)
    print("映像基址tt模組名稱t基址隨機化tDEP保護相容t強制完整性tSEH異常保護")
    # By: LyShark.com
    print("-" * 100)

    for item in ProcessModule:
        pe = pefile.PE(item[2])
        DllFlage = pe.OPTIONAL_HEADER.DllCharacteristics
        print("%10s"%(item[0]),end="t")
        print("%21s"%(item[1]),end="t")

        # 隨機基址 => hex(pe.OPTIONAL_HEADER.DllCharacteristics) & 0x40 == 0x40
        if( (DllFlage & 64)==64 ):
            print(" True",end="tt") 
        else:
            print(" False",end="tt")
            UNProtoModule.append(item[2])
        if( (DllFlage & 256)==256 ):
            print("True",end="tt")
        else:
            print("False",end="tt")
        if ( (DllFlage & 128)==128 ):
            print("True",end="tt")
        else:
            print("False",end="tt")
        if ( (DllFlage & 1024)==1024 ):
            print("False",end="ttn")
        else:
            print("True",end="ttn")
    
    print("-" * 100)
    print("n[+] 總模組數: {} 可利用模組: {}".format(len(ProcessModule),len(UNProtoModule)),end="nn")
    for item in UNProtoModule:
        print("[-] {}".format(item))
    print("-" * 100)

if __name__ == "__main__":
    Banner()
    parser = argparse.ArgumentParser()
    parser.add_argument("-H","--handle",dest="handle",help="指定一個正在執行的程序Handle")
    parser.add_argument("-P","--pid",dest="pid",help="指定一個正在執行的程序PID")
    args = parser.parse_args()
    if args.handle or args.pid:
        if args.handle:
            CheckModulesProtect(str(args.handle))
        elif args.pid:
            CheckModulesProtect(int(args.pid))
    else:
        parser.print_help()

輸出列舉效果如下：

到此這篇關於Python檢測PE所啟用保護方式詳解的文章就介紹到這了,更多相關Python檢測PE內容請搜尋it145.com以前的文章或繼續瀏覽下面的相關文章希望大家以後多多支援it145.com！

Python檢測PE所啟用保護方式詳解

熱門文章