一条命令看穿文件真实身份：Detect It Easy 快速识别教程

一条命令看穿文件真实身份：Detect It Easy 快速识别教程

【免费下载链接】Detect-It-EasyProgram for determining types of files for Windows, Linux and MacOS.项目地址: https://gitcode.com/gh_mirrors/de/Detect-It-Easy

一个.txt后缀的文件，点开却能执行；一份「压缩包」里套着可执行程序——只看扩展名，你根本猜不出它的底细。Detect It Easy 就是为这种时刻准备的开源文件类型识别工具，靠「签名匹配 + 启发式分析」双引擎，几秒钟报出文件的格式、编译器、加壳器和保护方式，Windows、Linux、macOS 通吃。本文将带你从零跑通命令行识别，再用 Docker 一键隔离部署。

先搞清它到底是干嘛的

Detect It Easy（下称 DiE）做一件事：把「这个文件是什么」的答案直接给你，并顺带交代它是谁编译的、被谁加过壳。核心机制是两套互补的引擎——已知样本走签名数据库精准命中，未知样本由启发式分析从结构里推断。

最快安装路径：装好就跑通第一条识别命令

安装有三个入口，挑顺手的：Windows 用 Chocolatey 或 Microsoft Store，Linux 各发行版（Parrot OS、Arch、openSUSE、REMnux）在包管理器里搜detect-it-easy即可，不想装依赖就直接用后文的 Docker。装完后打开终端，敲下你的第一条识别命令：

diec target.exe

diec是命令行版，这条命令把target.exe交给它识别。几秒后终端先给出文件类型（比如PE32或PE32+），再逐行列出加壳器、编译器、链接器及版本区间——第一行就是最关键的结论，往下是佐证。图形版die和精简扫描版diel也随包提供，需要细看时再切过去。

拿这三个场景试它：从单文件到批量报告

场景一：单文件查壳，拿到脱壳线索

拿到一个可疑样本，先确认它是不是被加过壳、用的什么壳：

diec target.exe

命令只做一件事——识别这一个文件。输出里盯住Packer:那一行，比如ASPack(2.12-2.42)，壳名和版本范围就齐了，拿它去挑对应的脱壳工具即可，Compiler:和Linker:两行则交代了编译链，能帮你判断样本来源。

场景二：批量扫目录，接脚本出报告

一整个样本目录别一个个点，加-r递归、-d深度分析，一次给全目录做体检：

diec -rd /path/to/samples

-r让diec钻进子目录，-d触发更深一层的检查，命令对目录里每个文件依次吐出识别结果。要把结果喂给别的工具，把输出换成结构化格式：追加-j出 JSON，-x、-C、-t分别对应 XML、CSV、TSV。完整参数一张图说清，-e看熵、-i看文件信息、-a扫所有类型都能在这里找到。

场景三：图形界面细看，交叉核对结论

命令行看个大概，要逐条核对判断是否合理，就用完整图形版die，把文件拖进窗口自动开始分析：左侧列出全部命中项，签名结果和启发式结果（带红色(Heur)前缀）分开展示，上方还有 Hash、字符串、熵、反汇编、十六进制等独立面板，让你从不同维度验证它的结论。

它凭什么敢下结论：签名 + 启发式双引擎

第一套是签名检测：db/PE/ 这类内置数据库覆盖 PE、ELF、Mach-O、APK、JAR、ZIP 等格式，按编译器、加壳器、保护器分类归档，每个工具一个规则文件，比如 db/PE/packer_UPX.2.sg，遇到已知样本直接命中。第二套是启发式分析：不依赖已知特征，从文件结构、代码模式、独立证据里推断，专治「没录入过但结构可疑」的文件。前者压误报，后者降漏报，两条结论始终分开标注，这也是取证场景敢用它的理由。

给自己的工具写一条检测规则

DiE 的检测规则都是用 DiE-JS（一种 JavaScript 风格脚本）写的，你可以自建规则、把团队私有的检测逻辑接进来 💡。核心语法是十六进制模式匹配：??匹配任意单字节，ASCII 文本直接加单引号，像4D 5A 90 ?? ?? 00 00就能定位 PE 头。把新脚本放进 db_custom/，图形界面里还能可视化编辑签名，点 Scan 后列出所有匹配地址。跳转距离、地址通配、条件通配等完整语法，见 help/Signatures.md，通用函数在 help/Global.md 有查。

用 Docker 一键隔离部署 🐳

想放进 CI 流水线或沙箱，官方仓库带了现成镜像。构建三步：

git clone --recursive https://gitcode.com/gh_mirrors/de/Detect-It-Easy cd Detect-It-Easy docker build . -t horsicq:diec

前两条把仓库和 Dockerfile 备好，第三条把diec打包成名为horsicq:diec的镜像。构建完，一条命令就把目标文件所在目录以只读方式挂进容器分析：

docker/diec.sh target_file

docker/diec.sh 会自动解析路径、只读挂载并传给diec，容器--rm用完即删，不留任何痕迹——适合碰来路不明的样本。

新手最容易踩的三个坑

• 版本号是区间不是精确值：加壳器识别常给出「2.12-2.42」这类范围，这是特征匹配的天然局限。把它当作圈定脱壳工具的依据就好，别指望锁死某一版。
• 未识别 ≠ 无风险：启发式只回答「它像什么」，不保证「它无害」。下结论前务必结合动态行为等多方证据。
• 签名库要更新：新格式、新壳层出不穷，规则会过时。定期更新数据库，检测力才跟得上。

下一步往哪走

1. 用包管理器或 Docker 装好，先拿一个本机程序跑diec，确认编译器和类型输出正常。
2. 找一个 UPX 加壳的 exe 跑一遍，核对「加壳器 + 版本区间」的结论是否合理。
3. 通读 help/Signatures.md，照着语法为自己的工具写一条检测规则，丢进db_custom/试跑。

参数细节随时查 docs/RUN.md，源码构建看 docs/BUILD.md。

【免费下载链接】Detect-It-EasyProgram for determining types of files for Windows, Linux and MacOS.项目地址: https://gitcode.com/gh_mirrors/de/Detect-It-Easy