史上最全 Windows 安全工具锦集

“工欲善其事，必先利其器。”

近日，深信服安全团队整理了一些常见的PE工具、调试反汇编工具、应急工具、流量分析工具和WebShell查杀工具，希望可以帮助到一些安全行业的初学者。

PE工具篇

PEiD

一款著名的PE侦壳工具，可以检测PE常见的一些壳，但是目前已经无法从官网获得：

EXEInfoPE

PE侦壳工具，PEiD的加强版，可以查看EXE/DLL文件编译器信息、是否加壳、入口点地址、输出表/输入表等等PE信息：

下载地址：http://www.exeinfo.xn.pl/

DetectIt Easy

开源的PE侦壳工具，是一个跨平台的应用程序，有Windows、Linux、Mac OS多个可用版本：

下载地址：http://ntinfo.biz/index.html

CFFExplorer

一款优秀的PE32 &PE64编辑工具，可以方便的查看及编辑PE文件。完全支持.NET文件格式：

下载地址：https://ntcore.com/?page_id=388

StudyPE

PE32 & PE64 查看分析集成工具，具有强大的PE结构处理分析功能，在查壳方面功能略显薄弱：

下载地址：https://bbs.pediy.com/thread-246459-1.htm

调试/反编译工具篇

OllyDbg

Ring3级调试器，支持插件扩展功能，唯一不足的是OD是一个32位调试器，不支持调试64位程序。官方给出的原版程序是无插件的，有需要的童鞋可以在吾爱破解论坛自行搜索：

下载地址：http://www.ollydbg.de/

WinDbg

支持Windows平台，用户态和内核态的调试器，有图形界面和命令行两种调试方式。其强大的内核调试功能收获了众多的追捧者：

下载地址：https://docs.microsoft.com/zh-cn/windows-hardware/drivers/debugger/debugger-download-tools

x32dbg/x64dbg

一款开源的调试器，从界面和操作使用和OD相似，支持32位和64位应用程序的调试。解决了OD对64位应用程序调试上的缺陷：

下载地址：https://x64dbg.com/#start

dnSpy

一款针对.NET程序的开源逆向程序的工具。包含了反汇编器，调试器和汇编编辑器等功能组件，支持插件功能：

下载地址：https://github.com/0xd4d/dnSpy

IDAPro

全称：InteractiveDisassembler Professional，交互式反汇编器专业版，目前最棒的静态反编译工具，是众多安全人士的首选：

下载地址：https://www.hex-rays.com/products/ida/

VB Decompiler

针对Visual Basic 5.0/6.0开发的程序的反编译器：

下载地址：https://www.vb-decompiler.org/products/cn.htm

应急工具篇

日志相关

Sysmon

WindowsSysinternals出品的一款Sysinternals系列中的工具。它以系统服务和设备驱动程序的方法安装在系统上，并保持常驻性。用来监视和记录系统活动，并记录到windows事件日志，可以提供有关进程创建，网络链接和文件创建时间更改的详细信息：

下载地址：https://docs.microsoft.com/en-us/sysinternals/downloads/sysmon

LastActivityView

是一款电脑操作记录查看器，直接调用系统日志，显示安装软件、系统启动、关机、网络连接、执行exe 的发生时间和路径：

下载地址：http://www.nirsoft.net/utils/computer_activity_view.html

注册表相关

Regshot

注册表比较工具，通过抓取两次注册表快速比较得出两次注册表的不同之处：

下载地址：https://sourceforge.net/projects/regshot/

Autoruns

基于Windows平台的自动运行程序的管理工具。可以控制登录时的加载程序、驱动程序加载、服务启动、任务计划等 Windows 中各种方面的启动项：

下载地址：https://docs.microsoft.com/en-us/sysinternals/downloads/autoruns

进程相关

ProcessHacker

一款功能丰富的开源系统进程辅助工具，可以方便的查看进程的运行情况、内存以及模块信息，还可以对进程进行管理：

下载地址：https://processhacker.sourceforge.io/

PowerTool

一款免费的进程管理器，可以Unlock占用文件的进程，查看文件或文件夹被占用的情况，内核模块和驱动的查看管理，进程模块的内存dump等工具：

下载地址：https://www.portablesoft.org/

ProcessLasso

（编辑：ASP站长网）