Windows PE Executable
| Format | Windows PE Executable |
|---|---|
| Kurzname | PE |
| Kategorie | execution |
| Plattformen | Windows |
| Crush Unterstützung | Noch nicht unterstützt |
| Status | Überprüft |
| Zuletzt überprüft | 2026-10-04 |
Forensische Relevanz
Das Portable-Executable-Format von Windows-Programmen und -Bibliotheken (.exe, .dll, .sys). Ein MS-DOS-Stub verweist auf den PE-Header mit Zielmaschine, Link-Zeitstempel, Sektionstabelle, Importen und Exporten; Ressourcen enthalten Versionsinformationen (Firma, Produkt, ursprünglicher Dateiname) und Icons. Der Link-Zeitstempel ist nicht immer ein Datum: Reproduzierbar gebaute Binaries (einschließlich Systemdateien ab Windows 10) speichern dort einen Hash, und 0 oder 0xFFFFFFFF bedeuten keinen Zeitstempel. Ein undokumentierter Rich Header listet die verwendeten Compiler- und Linker-Versionen. Eine Authenticode-Signatur nennt, falls vorhanden, den Unterzeichner. Relevant für die Malware-Analyse und um ein Binary seiner Herkunft zuzuordnen.
Signaturen
| Offset | Hex | ASCII (nicht druckbar als .) | Beschreibung |
|---|---|---|---|
| Offset 0 (0x0) | 4D 5A | MZ | MS-DOS-Header 'MZ' (der PE-Header folgt bei e_lfanew) |
| Offset unbekannt | 50 45 00 00 | PE.. | PE-Signatur am Datei-Offset, der in e_lfanew (0x3C) steht |
Bekannte Dateiendungen
.exe, .dll, .sys, .scr, .cpl
Referenzen
- PE Format (Microsoft) https://learn.microsoft.com/en-us/windows/win32/debug/pe-format
- MZ, PE-COFF executable file format (libyal/libexe) https://github.com/libyal/libexe/blob/main/documentation/Executable%20(EXE)%20file%20format.asciidoc
- Why are the module timestamps in Windows 10 so nonsensical? (Raymond Chen, The Old New Thing) https://devblogs.microsoft.com/oldnewthing/20180103-00/?p=97705
Diesen Eintrag zitieren
Crush-Format-Referenz, „Windows PE Executable“. https://kalink0.github.io/crush-forensics/formats/de/pe/ — Quelle: crush/data/build_formats_db.py zum Commit 640a2a9928f4e36a976b89901512a8dce824d093, erstellt 2026-10-21 06:46:19 UTC.
Eintrag in der Quelldatei bei diesem Commit · Änderungshistorie der Quelle · Korrektur melden