Wie herausfinden ob eine Ausführbare gepackt ist?

[Metal_Snake2]

Peid selbst arbeit mit mehreren ansätzen um herauszufinden ob eine ausführbare gepackt ist.


Man kann nun folgende ansetze geschickt kombinieren um eine gute Chance zu haben ob eine exe gepackt ist.

1. Entropie. Diese methode scheint wohl die best geeignetste zu sein. Leider habe ich keine ahnung wie ich das jetzt in Delphi umsetzen könnte. Ich hab das internet durchsucht und folgendes gefunden(Leider kein Code).

Link
Benötigte Entopie- Formel

Wie kann man jetzt z.B. ca 10000 bytes einer PE mit hilfe der Entropie untersuchen?



2. Man untersucht den EP Eintrit. Ist er in der ersten Sektion(Code-Sektion)?
3. Geängige Sektionsnamen wie Code,Data usw. upx z.B. erstellt 2 Sektionen namens upx0 und upx1.
4. Ist die RawData Größe = 0 einer Sektion?
5. Naja ansonsten nach bestimmten strings durchsuchen.