17、PE-Miner：挖掘结构信息以检测恶意可执行文件

PE-Miner：挖掘结构信息以检测恶意可执行文件

1. PE-Miner框架概述

PE-Miner框架的设计采用模块化理念，具备即插即用的特性，方便根据特定需求定制检测框架，例如适配其他操作系统的文件格式。该框架主要由三个模块构成：特征提取、特征预处理和分类。

2. 特征提取

在进行特征提取前，先了解PE文件的格式。PE文件包含PE文件头、节表（节头）以及后续的节数据。PE文件头又由MS DOS存根、PE文件签名、COFF（通用对象文件格式）头和可选头组成，包含文件的重要信息，如节的数量、栈和堆的大小等。节表包含后续节的重要信息，如名称、偏移量和大小，节中包含实际数据，如代码、初始化数据、导出、导入和资源。

基于PE文件的结构信息，可静态提取大量特征，具体如下表所示：
| Feature | Description | Type | Quantity |
| — | — | — | — |
| DLLs referred | | binary | 73 |
| COFF file header | | integer | 7 |
| Optional header – standard fields | | integer | 9 |
| Optional header – Windows specific fields | | integer | 22 |
| Optional header – data directories | | integer | 30 |
|.text section – header fields | | integer | 9 |