malice/pescan

malice/pescan 镜像说明

镜像概述

malice/pescan是基于Docker构建的Malice平台插件，专注于Windows PE（可移植可执行）文件的静态分析。它通过提取PE文件的元数据、结构特征和潜在威胁指标，为安全研究人员提供全面的分析结果，支持多种输出格式并可集成到自动化分析流程中。

核心功能

1. PE结构解析：提取头部信息（编译时间、入口点、机器类型等）；
2. 节区分析：检测节区的熵值、大小、虚拟地址等特征；
3. 导入表识别：列出依赖的DLL及导入函数；
4. 资源提取：解析图标、版本信息、语言等资源数据；
5. 加壳检测：通过PEiD签名识别加壳工具；
6. 结果导出：支持JSON/Markdown格式输出；
7. 集成能力：对接Elasticsearch存储结果或通过webhook回调发送报告。

使用场景

• 安全研究人员对可疑PE文件进行静态分析；
• 事件响应团队调查***样本；
• 自动化***分析流水线的PE检测环节；
• 教育场景中演示PE文件结构与分析方法。

配置说明

关键参数：

• --verbose：详细输出模式；
• --table：Markdown表格输出；
• --proxy PROXY：webhook代理地址；
• --callback ENDPOINT：结果回调端点；
• --elasticsearch HOST：Elasticsearch存储地址；
• --dump：提取嵌入的二进制文件；
• --peid PATH：PEiD数据库路径；
• --timeout SECS：插件超时时间（默认10秒）。

部署示例

安装

1. 安装Docker环境；
2. 拉取镜像：

   bash
   docker pull docker.xuanyuan.run/malice/pescan
   

基本使用

查看帮助：

bash
docker run --rm -v /path/to/malware:/malware docker.xuanyuan.run/malice/pescan --help

扫描PE文件：

bash
docker run --rm -v /path/to/malware:/malware docker.xuanyuan.run/malice/pescan scan /malware/sample.exe

Markdown格式输出：

bash
docker run --rm -v /path/to/malware:/malware docker.xuanyuan.run/malice/pescan scan --table /malware/sample.exe

Elasticsearch存储结果：

bash
docker run --rm -v /path/to/malware:/malware docker.xuanyuan.run/malice/pescan scan --elasticsearch http://es-host:9200 /malware/sample.exe

结果示例

JSON格式

包含头部信息、节区数据、导入表等，示例片段：

json
{
  "linker_version": "06.00",
  "compiletime": {"unix":1164878434,"datetime":"2006-11-30 09:20:34"},
  "imports": [{"name":"GetStartupInfoA","address":"0x406044"}],
  "is_packed": false,
  "peid": ["Armadillo v1.71","Microsoft Visual C++"]
}

Markdown格式

以结构化表格展示节区、导入函数等信息，便于阅读。

文档与支持

• https://github.com/malice-plugins/pescan/blob/master/docs/elasticsearch.md
• https://github.com/malice-plugins/pescan/blob/master/docs/web.md
• https://github.com/malice-plugins/pescan/blob/master/docs/callback.md

许可证

MIT许可证，详情见https://github.com/malice-plugins/pescan/blob/master/LICENSE%E3%80%82 ===END===