Определить, является ли файл исполняемым

@shtuceron · Регистрация: 26.08.2013

Студворк — интернет-сервис помощи студентам

Добрый день!

Есть в с++ очень хорошая функция - SHGetFileInfo, с ее помощью, в частности, можно определить является файл исполняемым. Аналога в режиме ядра я не нашел, но могу предположить, что определить это можно по первым двум байтам файлы:

MZ = 0x5A4D - DOS.
NE = 0x454E - OS/2.
LE = 0x454C - OS/2 или VXD.
PE = 0x4550 - Win32/NT.

Скажите, это правильный подход? Покрывает ли приведенный список все возможные варианты исполняемый файлов? Если нет, то как можно отличить запускается *.exe или, например, *.txt?

Спасибо.

Убежденный · 11.09.2017, 18:59

Сообщение от shtuceron

могу предположить, что определить это можно по первым двум байтам файлы:
MZ = 0x5A4D - DOS.
NE = 0x454E - OS/2.
LE = 0x454C - OS/2 или VXD.
PE = 0x4550 - Win32/NT.
Скажите, это правильный подход?

Нет.
Начнем с того, что в Win32 большинство исполняемых файлов начинаются с 'MZ'. Хотя это не DOS.

Сообщение от shtuceron

Если нет, то как можно отличить запускается *.exe или, например, *.txt?

Файл открывается с правами на выполнение, а затем для него срабатывает
IRP_MJ_ACQUIRE_FOR_SECTION_SYNCHRONIZATI ON с PageProtection == PAGE_EXECUTE.
Это если в минифильтре.

Ну и потом, .txt не запускается в традиционном смысле этого слова.
Запускается ассоциированная с ним программа, которая загружает .txt.

А для exe/dll/sys/ocx/etc еще срабатывают соответствующие Ps-калбэки...

@Ethereal · 11.09.2017, 19:41

Сообщение от shtuceron

Покрывает ли приведенный список все возможные варианты исполняемый файлов?

Нет. Более того в общем случае этого и не сделать. Исполняемый COM-файл никак не отличить от неисполняемого, кроме того, что его длина будет меньше 64К (точнее некоего числа, которое чуть ниже 64К). Грубо говоря, любой файл подходящей длины можно переименовать в .COM и запустить.

Т.е. если файл по структурам в его начале определяется как исполняемый, то это так. Но никак в общем случае нельзя определить, что файл НЕ является исполняемым.

@shtuceron · 12.09.2017, 17:15 **[ТС]**

IRP_MJ_ACQUIRE_FOR_SECTION_SYNCHRONIZATI ON подходящее решение, спасибо.

Но с .com файлами возникла небольшая засада. Запускаю их через команду "debug path_to_file", затем "g" (на выполнение). В логах даже нет упоминания, что .com файл запустился. Это особенность работы IRP_MJ_ACQUIRE_FOR_SECTION_SYNCHRONIZATI ON?

Новые блоги и статьи Все статьи Все блоги /
Автоматическое создание документа при проведении другого документа Maks 29.03.2026 Реализация из решения ниже выполнена на нетиповых документах, разработанных в конфигурации КА2. Есть нетиповой документ "ЗаявкаНаРемонтСпецтехники" и нетиповой документ "ПланированиеСпецтехники". В. . .	Настройка движения справочника по регистру сведений Maks 29.03.2026 Решение ниже реализовано на примере нетипового справочника "ТарифыМобильнойСвязи" разработанного в конфигурации КА2, с целью учета корпоративной мобильной связи в коммерческом предприятии. . . .	Автозаполнение реквизита при выборе элемента справочника Maks 27.03.2026 Программный код из решения ниже на примере нетипового документа "ЗаявкаНаРемонтСпецтехники" разработанного в конфигурации КА2. При выборе "Спецтехники" (Тип Справочник. Спецтехника), заполняется. . .	Сумматор с применением элементов трёх состояний. Hrethgir 26.03.2026 Тут. https:/ / fips. ru/ EGD/ ab3c85c8-836d-4866-871b-c2f0c5d77fbc Первый документ красиво выглядит, но без схемы. Это конечно не даёт никаких плюсов автору, но тем не менее. . . всё может быть. . .
Автозаполнение реквизитов при создании документа Maks 26.03.2026 Программный код из решения ниже размещается в модуле объекта документа, в процедуре "ПриСозданииНаСервере". Алгоритм проверки заполнения реализован для исключения перезаписи значения реквизита,. . .	Команды формы и диалоговое окно Maks 26.03.2026 1. Команда формы "ЗаполнитьЗапчасти". Программный код из решения ниже на примере нетипового документа "ЗаявкаНаРемонтСпецтехники" разработанного в конфигурации КА2. В качестве источника данных. . .	Кому нужен AOT? DevAlt 26.03.2026 Решил сделать простой ланчер Написал заготовку: dotnet new console --aot -o UrlHandler var items = args. Split(":"); var tag = items; var id = items; var executable = args;. . .	Отправка уведомления на почту при создании или изменении элементов справочника Maks 24.03.2026 Программная отправка письма электронной почты на примере типового справочника "Склады" в конфигурации БП3. Перед реализацией необходимо выполнить настройку системной учетной записи электронной. . .

@shtuceron 0 / 0 / 0 Регистрация: 26.08.2013 Сообщений: 161

	Определить, является ли файл исполняемым 11.09.2017, 17:36. Показов 1604. Ответов 3 Метки нет (Все метки) Добрый день! Есть в с++ очень хорошая функция - SHGetFileInfo, с ее помощью, в частности, можно определить является файл исполняемым. Аналога в режиме ядра я не нашел, но могу предположить, что определить это можно по первым двум байтам файлы: MZ = 0x5A4D - DOS. NE = 0x454E - OS/2. LE = 0x454C - OS/2 или VXD. PE = 0x4550 - Win32/NT. Скажите, это правильный подход? Покрывает ли приведенный список все возможные варианты исполняемый файлов? Если нет, то как можно отличить запускается .exe или, например, .txt? Спасибо. 0

@shtuceron 0 / 0 / 0 Регистрация: 26.08.2013 Сообщений: 161
	12.09.2017, 17:15 [ТС]
	IRP_MJ_ACQUIRE_FOR_SECTION_SYNCHRONIZATI ON подходящее решение, спасибо. Но с .com файлами возникла небольшая засада. Запускаю их через команду "debug path_to_file", затем "g" (на выполнение). В логах даже нет упоминания, что .com файл запустился. Это особенность работы IRP_MJ_ACQUIRE_FOR_SECTION_SYNCHRONIZATI ON? 0