從二進制內容識別7z SFX

Question

如何從二進制內容中識別7z SFX（自解壓縮EXE）文件，是否有任何偏移量從特定字節開始搜索或兩者兼有？

非常感謝

Answer 1

Google是你的朋友。搜索"7zip header"後的第一個結果。該文檔說這是7zip簽名：

BYTE kSignature[6] = {'7', 'z', 0xBC, 0xAF, 0x27, 0x1C}; 

您應該讀取該文件的前6個字節。如果該6字節序列與上面的kSignature相同，那麼該文件應該是7z。我一直在嘗試使用7z在GNU/Linux（實際上是SFX ELF文件，而不是PE）的東西。我發現在最後一塊數據中，7z簽名實際上是存在的。 hexdump都生成一個轉儲到字節數0x00057960，簽名位置爲：

0x000578f0: 37 7a bc af 27 1c 

0×37和0x7a分別是「7」和「z」的。因此，在這種情況下，簽名的偏移量爲EOF - 112個字節。

我建議你下載一個十六進制編輯器，創建一個SFX文件並測試這個偏移量是否在每個創建SFX 7z的應用程序中都是相同的。記住我已經在GNU/Linux上測試過了，所以它在Windows上可能會有所不同。