PE-bear

PE 파일 구조 분석

PE 파일의 헤더, 섹션, 임포트, 리소스 등 내부 구조를 GUI 환경에서 확인할 수 있는 뷰를 제공합니다. 서명 검색 및 문자열 검색(ANSI, 유니코드) 기능을 포함하며, PEid의 UserDB에서 변환된 시그니처 목록(SIG.txt)을 활용해 패커·프로텍터 식별에 활용할 수 있습니다.

PE 파일 편집

hex 편집기를 통해 PE 파일의 바이트를 직접 수정할 수 있습니다. 선택한 범위에 대해 NOP 처리, 클리어, 또는 임의의 문자로 채우기 같은 작업이 가능합니다. 또한 hex 편집기에서 선택한 숫자를 PE 내부 주소로 해석하여 컨텍스트 메뉴를 통해 해당 위치로 점프하는 기능이 제공됩니다.

Diff Window

두 PE 파일을 비교할 수 있는 Diff Window가 제공되며, 비교를 위한 툴바가 통합된 UI로 구성되어 있습니다.

설치 및 시작

PE-bear는 포터블 형태로 배포되며, 별도 설치 과정 없이 압축을 해제하여 바로 실행할 수 있습니다. Windows에서는 winget, Chocolatey, Scoop을 통한 설치도 지원합니다.

• winget: winget install --id hasherezade.PE-bear --exact
• Chocolatey: pebear 패키지
• Scoop: pe-bear

실행 후 분석하고자 하는 PE 파일을 열면 파일 헤더, 섹션, 임포트 등의 정보를 확인하고, 필요한 경우 hex 편집기에서 직접 내용을 수정할 수 있습니다.

지원 환경 및 빌드

Windows(x64/x86), macOS(64-bit), Linux(64-bit)에서 모두 사용할 수 있습니다. Windows에서는 Qt 4/5/6 기반 빌드가 제공되며, Qt6 빌드가 Windows 10 이상에서 권장됩니다. macOS용은 Qt6 기반 .app 번들이 제공되고, Linux용은 AppImage와 Qt 설치가 필요한 tar.xz 패키지가 있습니다.

소스에서 빌드

시스템에 맞는 빌드가 없을 경우 소스에서 직접 빌드할 수 있습니다. 필요한 도구는 git, cmake, Qt6(선택적으로 Qt5, Qt4)이며, bearparser, capstone, sig_finder 서브모듈이 필요합니다. 리포지토리는 recursive clone으로 가져와야 합니다.

• Windows: CMake로 Visual Studio 프로젝트를 생성한 뒤 빌드합니다.
• Linux/macOS: 제공되는 build.sh, build_qt6.sh, build_qt5.sh, build_qt4.sh 스크립트를 사용합니다.

제한 및 확인사항

PE-bear는 GPL-2.0 라이선스로 배포되며, 소스 공개 의무 등 GPL-2.0의 조건이 적용됩니다. Windows용 vs10 빌드(Qt4 기반)는 레거시 빌드로, 일부 기능이 누락될 수 있으며 최신 환경에서는 Qt5 또는 Qt6 빌드 사용이 권장됩니다. 테스트 빌드는 AppVeyor에서 각 커밋마다 생성되지만 불안정할 수 있으므로 공식 릴리스 사용이 권장됩니다.