В этой статье будет подробно описано, как создавать сигнатуры для программы „Detect It
Easy“. Detect It Easy или сокращённо DIE это программа для определения типов файлов.
DIE – кроссплатформенное приложение и кроме Windows-версии есть версии для Linux и
Mac OS.
Многие программы подобного рода(PEID, PE tools) позволяют использовать сторонние
сигнатуры. Но к сожалению эти сигнатуры сканируют только байты по заданной маске и
невозможно задать дополнительные параметры. Поэтому часто случаются ложные
срабатывания. Более надежные алгоритмы обычно жестко прописаны в самой
программе. И для добавления нового сложного детекта нужно перекомпилировать весь
проект. Никто, кроме авторов, не может изменить алгоритм детекта. И без постоянной
поддержки такие программы со временем теряют свою актуальность.
Detect It Easy имеет полностью открытую архитектуру сигнатур. Можно легко добавлять
свои алгоритмы детекта или изменять уже имеющиеся. Это достигается использованием
скриптов. Язык скриптов очень похож на JavaScript и любой человек, понимающий основы
программирования, без труда разберется, как это работает. Возможно кому-то покажется,
что скрипты работают очень медленно. Действительно скрипты работают медленнее
скомпилированного кода, но благодаря хорошей оптимизации Script Engine это не
причиняет особых неудобств. А возможности открытой архитектуры компенсируют
недостатки.
DIE существует в трех версиях. Обычная версия(DIE), версия Lite(DIEL) и консольная(DIEC).
Все эти три версии используют одни и те же сигнатуры, которые лежат в папке «db». Если
открыть эту папку, то можно найти вложенные подпапки(„Binary“,“PE“ и другие). Имена
