# PE-bear PE 文件分析工具

> 用于查看和编辑 Windows 可移植可执行（PE）文件的 Qt 图形工具，旨在为恶意软件分析人员提供快速的初步查看，并能稳定处理畸形的 PE32 与 PE64 文件。它可显示文件头和节区布局，跟随原始偏移、RVA 和 VA 地址，借助 Capstone 从任意偏移开始反汇编，按签名识别加壳工具，对比两个文件，并能还原从内存转储的映像。

- 类型：工具
- 目标：二进制
- 类别：原生分析工具
- 关联：基础工具
- 来源复核于：2026-10-19
- 收录于：2026-10-31
- 原始资源：<https://github.com/hasherezade/pe-bear>
- 一手来源：<https://github.com/hasherezade/pe-bear/blob/b90f1d7d96635e7a029f424a0d1d11a104821685/README.md>
- 目录页面：<https://awesomerea.org/zh/resources/pe-bear/>
- 记录 JSON：<https://awesomerea.org/resources/pe-bear/record.json>
- 英文版：[English](https://awesomerea.org/resources/pe-bear/index.md)

## 使用条件与局限

- 最新发行版为 v0.7.2（2026-06-05），提供 Windows 的 Qt6 与 Qt5 版本、面向 XP 等旧版 Windows 的 Qt4 x86 旧版构建、Linux 的 tar.xz 与 AppImage 版本以及 macOS 的 Qt6 应用；Chocolatey、Scoop 和 WinGet 也提供安装包。所审阅的 main 提交（2026-10-14）比它多 16 个提交，包括 Capstone 更新和尚未发布的更新检查功能；据其 README，该功能每天最多查询一次 GitHub 发行版 API，且只发送 PE-bear 的 User-Agent。
- Linux 版本需要安装对应版本的 Qt；用 Visual Studio 2017 或更高版本构建的 Windows 版本需要 Visual C++ 2015–2022 运行库。源码构建需要 Git、CMake 3.12+、Qt6（或 Qt5/Qt4）以及 bearparser、Capstone 和 sig_finder 子模块，并提供 Linux 与 macOS 的构建脚本。AppVeyor 会为 main 分支的每个提交构建测试包，README 提醒这些构建可能不稳定。
- 输入为分析者选定的 PE 文件，也包括从进程中转储的映像，PE-bear 会提示将其还原为原始格式。Wiki 页面介绍了添加导入项、移除附加数据、填充内容以及搜索字符串或带掩码的字节签名。加壳识别使用 SIG.txt，它由第三方脚本从 PEiD 的 UserDB 转换而来，最后更新于 2022-10-17。
- 采用 GPL-2.0 许可；作者页面称 PE-bear 自 2022-09-18 起开源，此前其开发曾于 2014 年停止，后又重新启动。bearparser 和 sig_finder 子模块采用 BSD-2-Clause 许可，Capstone 保留其自身许可。

## 一手来源

1. <https://github.com/hasherezade/pe-bear/blob/b90f1d7d96635e7a029f424a0d1d11a104821685/README.md>
2. <https://github.com/hasherezade/pe-bear/blob/b90f1d7d96635e7a029f424a0d1d11a104821685/CMakeLists.txt>
3. <https://github.com/hasherezade/pe-bear/blob/b90f1d7d96635e7a029f424a0d1d11a104821685/.gitmodules>
4. <https://github.com/hasherezade/pe-bear/blob/b90f1d7d96635e7a029f424a0d1d11a104821685/pe-bear/updater/README.md>
5. <https://github.com/hasherezade/pe-bear/blob/b90f1d7d96635e7a029f424a0d1d11a104821685/.appveyor.yml>
6. <https://github.com/hasherezade/pe-bear/blob/b90f1d7d96635e7a029f424a0d1d11a104821685/LICENSE>
7. <https://github.com/hasherezade/pe-bear/wiki/Home/54c92bf64d101f3f51a8388f0d83455ce12055bf>
8. <https://github.com/hasherezade/pe-bear/wiki/PE-Unmapping/88701f9546cb03b2e5666958e0e889feaea99ba9>
9. <https://github.com/hasherezade/pe-bear/wiki/Searching-patterns/fd89b1add6e3af972d64b455a6316b74491d9284>
10. <https://hshrzd.wordpress.com/pe-bear/>
11. <https://github.com/hasherezade/pe-bear/releases/tag/v0.7.2>

## 同分区更多条目：原生二进制

- [PE-sieve 进程内存植入扫描工具](https://awesomerea.org/zh/resources/pe-sieve/index.md) · 工具
- [oletools Office 文档与 OLE 文件分析工具集](https://awesomerea.org/zh/resources/oletools/index.md) · 工具
- [MonkeyDev iOS 应用插桩开发工具包](https://awesomerea.org/zh/resources/monkeydev/index.md) · 工具
- [Hollows Hunter 进程内存植入扫描器](https://awesomerea.org/zh/resources/hollows-hunter/index.md) · 工具
- [restore-symbol iOS 符号表恢复工具](https://awesomerea.org/zh/resources/restore-symbol/index.md) · 工具
- [FakeNet-NG 动态网络分析工具](https://awesomerea.org/zh/resources/fakenet-ng/index.md) · 工具

## 关于此条目

说明已依据一手来源复核。
原创说明采用 MIT 许可；外部项目、论文与素材保留各自的权利和许可。