# PE-sieve 进程内存植入扫描工具

> hasherezade 开发的 Windows 进程扫描工具，可在单个运行中的进程里发现并转储植入内容：被替换或注入的 PE 模块、shellcode、内联钩子与 IAT 钩子以及其他内存补丁；README 列出的可检测技术包括 Process Hollowing、Process Doppelgänging 和反射式 DLL 注入。可选功能包括按特征模式或统计方法检测 shellcode，扫描线程调用栈、不可执行内存页以及加密或混淆内容，选择转储模式并为转储的 PE 恢复导入表，生成 minidump 和 JSON 报告。它可构建为 EXE、提供简单 API 的 DLL（Python、Go 和 Rust 绑定均基于该 API）或静态库，也是 HollowsHunter 和 MalUnpack 的扫描引擎。

- 类型：工具
- 目标：二进制
- 类别：调试与动态分析
- 关联：基础工具
- 来源复核于：2026-10-20
- 收录于：2026-11-02
- 原始资源：<https://github.com/hasherezade/pe-sieve>
- 一手来源：<https://github.com/hasherezade/pe-sieve/blob/98788a6ef98cd3c1a0ee481dc5a6847cb4f92432/README.md>
- 目录页面：<https://awesomerea.org/zh/resources/pe-sieve/>
- 记录 JSON：<https://awesomerea.org/resources/pe-sieve/record.json>
- 英文版：[English](https://awesomerea.org/resources/pe-sieve/index.md)

## 使用条件与局限

- 审阅时最新版本为 v0.4.1.1，发布于 2025-09-13，提供 32 位和 64 位 EXE 与 DLL；README 还列出 Chocolatey 和 Scoop 软件包。所审阅的 master 提交（2026-06-06）标注版本 0.4.1.5，因此固定的源码可能包含尚未发布的改动。PE-sieve 在 Windows 上运行，每次按 PID 扫描一个进程；扫描多个进程或整个系统需使用独立的 HollowsHunter。
- 从源码构建使用 CMake 3.12+（或 MinGW 构建脚本），需递归克隆 libpeconv、paramkit 和 sig_finder 子模块，并可选择构建 EXE、DLL 或静态库。仓库中的 Python 绑定以及独立的 Go 和 Rust 绑定会从 PESIEVE_DIR 或当前目录加载 pe-sieve32.dll 或 pe-sieve64.dll。可选的符号下载功能会为被扫描模块获取符号。
- 输入是分析者所掌控机器上正在运行的进程；README 将结果描述为供进一步分析而收集的可能恶意的内容，因此检测结果和转储文件都需要人工复核。AppVeyor 构建 x86 与 x64 的 Release 和 Debug 配置，其唯一的 CTest 检查是运行 pe-sieve -? 并确认输出版本字符串；GitHub 工作流只发布 Doxygen 文档。
- 采用 BSD-2-Clause 许可证（LICENSE，2017-2026 @hasherezade）；各子模块保留其自身许可证。

## 一手来源

1. <https://github.com/hasherezade/pe-sieve/blob/98788a6ef98cd3c1a0ee481dc5a6847cb4f92432/README.md>
2. <https://github.com/hasherezade/pe-sieve/blob/98788a6ef98cd3c1a0ee481dc5a6847cb4f92432/params.h>
3. <https://github.com/hasherezade/pe-sieve/blob/98788a6ef98cd3c1a0ee481dc5a6847cb4f92432/CMakeLists.txt>
4. <https://github.com/hasherezade/pe-sieve/blob/98788a6ef98cd3c1a0ee481dc5a6847cb4f92432/pe_sieve_ver_short.h>
5. <https://github.com/hasherezade/pe-sieve/blob/98788a6ef98cd3c1a0ee481dc5a6847cb4f92432/.gitmodules>
6. <https://github.com/hasherezade/pe-sieve/blob/98788a6ef98cd3c1a0ee481dc5a6847cb4f92432/bindings/README.md>
7. <https://github.com/hasherezade/pe-sieve/blob/98788a6ef98cd3c1a0ee481dc5a6847cb4f92432/.appveyor.yml>
8. <https://github.com/hasherezade/pe-sieve/blob/98788a6ef98cd3c1a0ee481dc5a6847cb4f92432/.github/workflows/main.yml>
9. <https://github.com/hasherezade/pe-sieve/blob/98788a6ef98cd3c1a0ee481dc5a6847cb4f92432/LICENSE>
10. <https://github.com/hasherezade/pe-sieve/releases/tag/v0.4.1.1>

## 同分区更多条目：原生二进制

- [oletools Office 文档与 OLE 文件分析工具集](https://awesomerea.org/zh/resources/oletools/index.md) · 工具
- [MonkeyDev iOS 应用插桩开发工具包](https://awesomerea.org/zh/resources/monkeydev/index.md) · 工具
- [Hollows Hunter 进程内存植入扫描器](https://awesomerea.org/zh/resources/hollows-hunter/index.md) · 工具
- [restore-symbol iOS 符号表恢复工具](https://awesomerea.org/zh/resources/restore-symbol/index.md) · 工具
- [FakeNet-NG 动态网络分析工具](https://awesomerea.org/zh/resources/fakenet-ng/index.md) · 工具
- [Joern 代码属性图分析平台](https://awesomerea.org/zh/resources/joern/index.md) · 工具

## 关于此条目

说明已依据一手来源复核。
原创说明采用 MIT 许可；外部项目、论文与素材保留各自的权利和许可。