Mach-O 头部字段

macho.go_import_hash

Mach-O 文件中 Go 语言导入的哈希值，不包括标准库导入。导入哈希值可以用来对二进制文件进行指纹识别，即使在重新编译或其他代码级转换发生后，这些转换会改变更传统的哈希值。

用于计算 Go 符号哈希值的算法和参考实现可在此处获取 [here](https://github.com/elastic/toutoumomoma).

类型: keyword

示例: 10bddcb4cee42080f76c88d9ff964491

扩展

macho.go_imports

导入的 Go 语言元素名称和类型的列表。

类型: flattened

扩展

macho.go_imports_names_entropy

来自 Go 导入列表的香农熵计算。

类型: long

扩展

macho.go_imports_names_var_entropy

来自 Go 导入列表的香农熵计算的方差。

类型: long

扩展

macho.go_stripped

如果文件是经过符号剥离或混淆的 Go 可执行文件，则设置为 true，否则为 false。

类型: boolean

扩展

macho.import_hash

Mach-O 文件中导入的哈希值。导入哈希值可以用来对二进制文件进行指纹识别，即使在重新编译或其他代码级转换发生后，这些转换会改变更传统的哈希值。

这是 symhash 的同义词。

类型: keyword

示例: d41d8cd98f00b204e9800998ecf8427e

扩展

macho.imports

导入的元素名称和类型的列表。

类型: flattened

注意: 此字段应包含一个值的数组。

扩展

macho.imports_names_entropy

来自导入的元素名称和类型的列表的香农熵计算。

类型: long

扩展

macho.imports_names_var_entropy

来自导入的元素名称和类型的列表的香农熵计算的方差。

类型: long

扩展

macho.sections

一个数组，包含 Mach-O 文件每个部分的对象。

这些对象中应该存在的键由 macho.sections.* 下的子字段定义。

类型: nested

注意: 此字段应包含一个值的数组。

扩展

macho.sections.entropy

来自部分的香农熵计算。

类型: long

扩展

macho.sections.name

Mach-O 部分列表名称。

类型: keyword

扩展

macho.sections.physical_size

Mach-O 部分列表物理大小。

类型: long

扩展

macho.sections.var_entropy

来自部分的香农熵计算的方差。

类型: long

扩展

macho.sections.virtual_size

Mach-O 部分列表虚拟大小。这始终与 physical_size 相同。

类型: long

扩展

macho.symhash

Mach-O 文件中导入的哈希值。导入哈希值可以用来对二进制文件进行指纹识别，即使在重新编译或其他代码级转换发生后，这些转换会改变更传统的哈希值。

这是 Mach-O 对 Windows PE imphash 的实现。

类型: keyword

示例: d3ccf195b62a9279c3c19af1080497ec

扩展