什么正则表达式字符串可以区分包含“PE null null L”和“PE null null d”的文件

Question

我需要一种快速简便的方法来了解给定目录中有多少 dll 是 32 位的，有多少是 64 位的。 当我想到一个更简单的解决方案时，我正准备编写一个 PowerShell 脚本。 我在下面展示了我的想法可以工作，但我需要一点正则表达式帮助才能使其正常工作。

已经证明可以在记事本中打开 dll 文件，只需检查第一个“ PE ”之后的字符即可显示位数（32 或 64）。 字母“ L ”和“ d ”分别表示 32 位和 64 位引用。 Notepad++ 或十六进制编辑器会更准确地显示“ PE ”和下图中从 Notepad++ 复制的另一个字符之间实际上有 2 个 null 个字符。

不幸的是，我的一些目录包含数百个 dll，因此使用记事本或任何其他实用程序一次打开它们是不切实际的。 但是，有一些功能强大的“支持 grep”的文件搜索实用程序可以在目录中搜索包含指定搜索字符串的文件。 此外，其中一些可以进行正则表达式(regex) 搜索。 因为我知道区分 32 位和 64 位 dll 的唯一字符串（如上所示），所以这样的文件搜索实用程序应该能够快速清点任何目录中的 dll 类型。 在我看来，最好的此类文件搜索实用程序是grepWin ，它可以免费下载和安装。

我的第一次尝试是正则表达式搜索字符串“.PE("\x00")*"，它可以分解如下。

下图显示了使用 grepWin 和搜索字符串“.PE("\x00")*”对指定目录进行的搜索结果，其中包含 276 个 dll 个文件。 它显示找到的 276 个 dll 中有 276 个包含“ PE ”，后跟多个 null 个字符。 它还显示实际上找到了数千个匹配项。 这是因为正则表达式搜索在第一次匹配后继续进行，并在不可避免地“随机”出现的较大文件中找到了更多匹配项。

下表显示了OOO提出的正则表达式字符串“ PE.{2}L ”和“ PE.{2}d ”的搜索结果。 这些搜索字符串找到所有文件，但不幸的是，某些 dll 文件被计算了两次，因为 32 位和 64 位 dll 的总和超过了目录中 dll 文件的总数。

以下使用“ PE.{2}L ”和“ PE.{2}d ”搜索结果的屏幕截图显示匹配项超过了找到的文件数，这意味着正则表达式搜索超出了第一个匹配项。

所以我只需要知道如何修改这些正则表达式搜索字符串以在找到第一个“ PE ”后停止搜索 3 个字符。 我知道这可以使用“ .*? ”修饰符来完成，但我无法让它工作。 这是我的问题。

• 如何修改这些搜索字符串以在找到第一个“ PE ”后停止读取3 个字符？

可以通过使用 grepWin 搜索任何 dll 目录来验证任何正则表达式搜索字符串。 为了正确起见，搜索字符串必须产生与文件相同数量的匹配项，这与上面显示的示例不同。 这将验证搜索是否在找到第一个匹配项后停止。

Answer 1

这不可能是真的：

• 正则表达式.PE("\x00")*将搜索：

  1. 任何字符（为什么要排除在文件开头找到它的权利？）

  2. 角色P

  3. 字符E

  4. 组：

     1. 字符"
     2. 字节值00对应的字符
     3. 字符"

     ...根据*匹配数量从从不到无数（为什么不想要恰好 2 个？）

• 搜索PE\x00\x00不是更好吗？ 除非grepWin带有自己的正则表达式风格，其中组中的引号具有特殊含义。 但我对此深表怀疑。
• 正则表达式PE.{2}L和PE.{2}d就像没有人会使用的短语。 为什么不直接写PE..L ？

从技术角度

我们可以进一步限制正则表达式不要过度匹配太多误报，也不要忽略我们还应该检查的东西（这有助于了解可移植可执行文件的布局是什么样的）：

• 每个可执行文件都以DOS header 开头，它总是 64 字节长并且几乎总是以MZ开头（在极少数/历史情况下也是ZM或NE ，但不是我们的例子）。

• NT header始终以PE\0\0 （或十六进制50 45 00 00或正则表达式PE\x00\x00 ）开头，然后是\x64\x86 （对于 64 位）或\x4c\x01 （对于 32 位）。 这个 header 可以晚得多开始，但我们可以安全地假设在文件的前 2048 个字节内找到它（很可能已经在 240 个字节之后）。

  同样在18 个字节之后，我们很可能得到字节\x0b\x01或\x0b\x02 （或者在极少数情况下\x07\x01 ）。

更好的正则表达式

• 对于 x64（64 位）搜索^MZ.{62,2046}PE\x00\x00\x64\x86.{18}\x0b[\x01\x02]和
• 对于 x86（32 位）搜索^MZ.{62,2046}PE\x00\x00\x4c\x01.{18}\x0b[\x01\x02] 。

如果你的目标软件崩溃了（尽管它赞扬它的正则表达式支持，比如grepWin ）那么

• 要么完全省略匹配 DOS header（删除^MZ.{62,2046}
• 或者尝试将重复减少到更小的重复，fe {62,280} 。

解释：

1. 从文件的开头开始（实际上只是“行”的开头）

2. 字符M和Z （ M ark Z bikowski）

3. 任何字符至少 62 次，但最多 2046 次（像Notepad++这样的文本编辑器可能会抱怨我们的正则表达式太复杂，这就是我们还定义最大值的原因）

4. 字符P和E （可移植可执行）

5. 字节00 00

6. CPU架构：

   • 64 位 (AMD) 的字节\x64\x86 ，或
   • 字节\x4c\x01用于 32 位（Intel 386 或更高版本）。

   不要只依赖光学器件（ d和L ），因为那样你会忽略一半的值，只会冒更多误报的风险）。

7. 任意字符恰好 18 次

8. 字节0b

9. 字节01或02

测试成功

• 使用Notepad++ 8.4.8 x64（确保勾选.匹配换行符）
• 在C:\Windows\System32\quartz.dll
• 使用 Windows 7 x64（所以 DLL 应该是 64 位）：

这里的一大优势是这个正则表达式很可能只匹配一次而不是多次，尤其是在 DLL 中。 然而，由于可执行文件没有“结束”标记，它们之后可以携带任何格式的数据。 不受意图的约束（好的 = 自解压档案，坏的 = 病毒）几乎没有办法排除这些 - 如果我们幸运的话，我们的^可以帮助我们。