Wie prüfe ich, ob eine Binärdatei unter Windows 32 oder 64 Bit ist?

Nach der Untersuchung der Header-Werte aus Richards Antwort habe ich eine Lösung gefunden, die schnell und einfach ist und nur einen Texteditor erfordert. Sogar die Standard-Notepad.exe von Windows würde funktionieren.

1. Öffnen Sie die ausführbare Datei im Texteditor. Möglicherweise müssen Sie den Open...Dialog des Editors ziehen und ablegen, da Windows die Open with...Option nicht im Kontextmenü für ausführbare Dateien anzeigt.

2. Überprüfen Sie die ersten druckbaren Zeichen nach dem ersten Auftreten von PE. Dieser Teil ist höchstwahrscheinlich von mindestens einigen Leerzeichen umgeben (dies könnte eine Menge davon sein), so dass er leicht visuell ausgeführt werden kann.

Hier finden Sie das, was Sie finden werden:

x86:

PE L 

x64:

PE d† 

Eine Warnung: Die Verwendung des Standard-Notepad für große Dateien kann sehr langsam sein. Verwenden Sie ihn daher nicht für Dateien, die größer als ein Megabyte oder wenige sind. In meinem Fall dauerte es etwa 30 Sekunden, bis eine 12-MiB-Datei angezeigt wurde. Notepad ++ konnte jedoch fast sofort eine ausführbare 120-MiB-Datei anzeigen.

Diese Lösung ist möglicherweise hilfreich, wenn Sie eine Datei auf einem Computer überprüfen müssen, auf der keine zusätzliche Software installiert werden kann.

Zusätzliche Information:

Wenn Sie über einen HEX-Editor verfügen, befindet sich der Versatz der PE-Signatur im Versatz 0x3C. Die Signatur lautet PE\0\0(Buchstaben "P" und "E" gefolgt von zwei Null-Bytes), gefolgt von einem Zwei-Byte-Maschinentyp in Little Endian.

Die relevanten Werte sind 0x8664für x64 ausführbar und 0x14cfür x86. Es gibt viel mehr mögliche Werte, aber wahrscheinlich werden Sie niemals auf solche Werte stoßen oder solche ausführbaren Dateien auf Ihrem Windows-PC ausführen können.

Die vollständige Liste der Maschinentypen, zusammen mit dem Rest der Exe - Spezifikationen finden Sie in Microsoft PE und COFF Spezifikation Maschinentypen Abschnitt.

Das SDK-Tool dumpbin.exemit der /headersOption enthält diese Informationen. Vergleichen Sie diese beiden. (Ich habe die wichtigsten Informationen fett dargestellt.)

PS [64] E: \ # 4> dumpbin / Header C: \ Windows \ system32 \ cmd.exe Microsoft (R) COFF / PE-Dumper Version 10.00.40219.01 Copyright (C) Microsoft Corporation. Alle Rechte vorbehalten.   Abbild der Datei C: \ Windows \ system32 \ cmd.exe  PE-Signatur gefunden  Dateityp: EXECUTABLE IMAGE  DATEI-HEADER-WERTE 8664 Maschine (x64) 6 Anzahl der Abschnitte 4CE798E5 Uhrzeit Datum Stempel Sa Nov 20 09:46:13 2010 0 Dateizeiger auf Symboltabelle 0 Anzahl von Symbolen F0 Größe des optionalen Headers 22 Eigenschaften Ausführbar Die Anwendung kann große Adressen (> 2 GB) verarbeiten [...] 

und

PS [64] E: \ # 5> dumpbin / Header C: \ Windows \ syswow64 \ cmd.exe Microsoft (R) COFF / PE-Dumper Version 10.00.40219.01 Copyright (C) Microsoft Corporation. Alle Rechte vorbehalten.   Abbild der Datei C: \ Windows \ syswow64 \ cmd.exe  PE-Signatur gefunden  Dateityp: EXECUTABLE IMAGE  DATEI-HEADER-WERTE 14C Maschine (x86) 4 Anzahl der Abschnitte 4CE78E2B Uhrzeit Datum Stempel Sa Nov 20 09:00:27 2010 0 Dateizeiger auf Symboltabelle 0 Anzahl von Symbolen E0-Größe des optionalen Headers 102 Merkmale Ausführbar 32-Bit-Wortmaschine [...] 

Wenn Sie nicht das gesamte Windows SDK oder Visual Studio haben oder haben möchten, können Sie sigcheck.exeSysInternals verwenden :

sigcheck.exe C:\Windows\Notepad.exe 

Ausgabe:

Sigcheck v2.1 - File version and signature viewer Copyright (C) 2004-2014 Mark Russinovich Sysinternals - www.sysinternals.com  c:\windows\notepad.exe: Verified: Signed Signing date: 8:59 AM 8/22/2013 Publisher: Microsoft Windows Description: Notepad Product: Microsoft« Windows« Operating System Prod version: 6.3.9600.16384 File version: 6.3.9600.16384 (winblue_rtm.130821-1623) MachineType: 64-bit 

Ich kann bestätigen, dass das fileDienstprogramm (z. B. von cygwin) zwischen ausführbaren 32- und 64-Bit-Dateien unterscheidet. Sie erscheinen wie folgt:

32.exe: PE32 executable (GUI) Intel 80386, for MS Windows 64.exe: PE32+ executable (console) x86-64, for MS Windows 

Wie Sie sehen können, ist es sehr offensichtlich, welches welches ist. Darüber hinaus unterscheidet es zwischen ausführbaren Dateien für die Konsole und die grafische Benutzeroberfläche.

Eine einfache Methode besteht darin, es auszuführen (vorausgesetzt, Sie vertrauen darauf) und die Prozessregisterkarte im Task-Manager zu betrachten. 32-Bit-Prozesse zeigen am Ende des Prozessnamens "* 32" an. Wenn Sie nicht bereit sind, auf Ihrem Computer zu laufen, können Sie den EXE Explorer ausprobieren . Es enthält eine ganze Reihe von Informationen zu ausführbaren Dateien, einschließlich 32 oder 64 Bit.

Viele Leute haben den exzellenten 7-Zip installiert und den 7-Zip-Ordner hinzugefügt PATH. 7-zip versteht andere Dateiformate als ZIP und RAR wie MSI-Dateien und ausführbare PE-Dateien. Verwenden Sie einfach die Befehlszeile 7z.exeder betreffenden PE-Datei (Exe oder DLL):

7z l some.exe | more 7z l some.exe | findstr CPU 

Die Ausgabe enthält Zeilen wie folgt, wobei die CPUZeile entweder x86oder x64zeigt.

Path = C:\Extra\AV\neroAacEnc.exe Type = PE CPU = x86 Characteristics = Executable 32-bit  Path = C:\Extra\AV\LAME\lame_enc.dll Type = PE CPU = x86 Characteristics = Executable DLL 32-bit  Path = C:\Extra\AV\FFmpeg\bin\ffmpeg.exe Type = PE CPU = x64 64-bit = + Characteristics = Executable LargeAddress NoRelocs NoLineNums NoLocalSyms NoDebugInfo  Path = C:\Extra\AV\FFmpeg\bin\avcodec-56.dll Type = PE CPU = x64 64-bit = + Characteristics = Executable DLL LargeAddress NoLineNums NoLocalSyms NoDebugInfo 

Die 64-Bit-Version von Process Explorer kann Ihnen sagen. Führen Sie einfach die ausführbare Datei aus und öffnen Sie das Eigenschaftenfenster des Prozesses. Auf der Hauptregisterkarte befindet sich ein Eintrag mit der Aufschrift "Image: 32 Bit" oder "Image: 64 Bit".

Der einfachste Weg (wenn die Daten nicht vertraulich sind)

Ich finde, dass Virustotal File detail der einfachste Weg ist, um herauszufinden, ob eine Binärdatei 32 Bit oder 64 Bit ist.

Die Additional informationOption bietet zusätzlich viele hilfreiche Informationen zur Datei.

Das Ausführen einer ausführbaren Datei und das Einchecken des Prozess-Explorers oder eines ähnlichen Tools hat einige offensichtliche Nachteile:

1. Wir müssen den Prozess ausführen.
2. Für die kurzlebigen Prozesse (wie zB Echo-Hallo-Welttypen) registriert der Process Explorer möglicherweise nicht einmal, dass ein neuer Prozess gestartet wurde.

Die Dumpbin.exe-Methode kann den Zweck wahrscheinlich lösen.

Eine weitere Alternative wäre Cygwin zu verwenden Datei - Befehl. Ich habe es jedoch nicht unter Windows getestet. Es funktioniert gut auf Linuxes.

Usage: file program_under_test.exe 

BEARBEITEN: Gerade file.exe am Fenster getestet. funktioniert gut. :)

Hier ist eine Powershell-Lösung, keine externen Abhängigkeiten oder ähnliches. Öffnen Sie Powershell, fügen Sie die Funktion dort ein (drücken Sie zweimal die Eingabetaste, um zur Eingabeaufforderung zurückzukehren), und verwenden Sie sie wie in meinen Beispielen unter der Funktion:

function Test-is64Bit { param($FilePath=“$env:windir\notepad.exe”)  [int32]$MACHINE_OFFSET = 4 [int32]$PE_POINTER_OFFSET = 60  [byte[]]$data = New-Object -TypeName System.Byte[] -ArgumentList 4096 $stream = New-Object -TypeName System.IO.FileStream -ArgumentList ($FilePath, 'Open', 'Read') $stream.Read($data, 0, 4096) | Out-Null  [int32]$PE_HEADER_ADDR = [System.BitConverter]::ToInt32($data, $PE_POINTER_OFFSET) [int32]$machineUint = [System.BitConverter]::ToUInt16($data, $PE_HEADER_ADDR + $MACHINE_OFFSET) $stream.Close()  $result = "" | select FilePath, FileType, Is64Bit $result.FilePath = $FilePath $result.Is64Bit = $false  switch ($machineUint)  { 0 { $result.FileType = 'Native' } 0x014c { $result.FileType = 'x86' } 0x0200 { $result.FileType = 'Itanium' } 0x8664 { $result.FileType = 'x64'; $result.is64Bit = $true; } }  $result } 

Hier ist eine Beispielausgabe:

D:\> Test-is64bit  FilePath FileType Is64Bit -------- -------- ------- C:\Windows\notepad.exe x64 True   D:\> Test-is64bit 'C:\Program Files (x86)\Mozilla Firefox\firefox.exe'  FilePath FileType Is64Bit -------- -------- ------- C:\Program Files (x86)\Mozilla Firefox\firefox.exe x86 False