如何在Windows上检查二进制文件是32位还是64位？

#1 楼

在检查了Richard的答案中的标头值之后，我想出了一个快速，简单且只需要文本编辑器的解决方案。甚至Windows的默认notepad.exe也可以使用。


在文本编辑器中打开可执行文件。您可能必须拖放或使用编辑器的Open...对话框，因为Windows在可执行文件的上下文菜单中不显示Open with...选项。


检查第一个可打印的首次出现PE之后的字符。这部分最有可能被至少一些空白包围（可能很多），因此可以很容易地在视觉上完成。


这是您要执行的操作找到：
32位：

PE  L

64位：

PE  d†

警告：在大文件上使用默认记事本可能会很慢，因此更好不要将其用于大于或小于1 MB的文件。以我为例，大约需要30秒才能显示12 MiB文件。但是Notepad ++几乎可以立即显示120 MiB可执行文件。
如果您需要在无法安装任何其他软件的计算机上检查文件，此解决方案可能很有用。附加信息：
如果有可用的十六进制编辑器，则PE签名的偏移量位于偏移量0x3C处。签名是PE0x86640x014c（字母“ P”和“ E”，后跟两个空字节），后跟两个字节的机器类型（在Little Endian中）。
对于64位可执行文件，相关值为64 86，对于64位可执行文件，相关值为4c 01。 32位元代码（调整了字节序后分别为q4312079q和q4312079q，但是任何不错的十六进制编辑器在搜索十六进制值时都会自动处理字节序）。还有更多可能的值，但您可能永远不会遇到这些值，也无法在Windows PC上运行此类可执行文件。
完整的计算机类型列表以及其余的.exe规范，可以在“ Microsoft PE和COFF规范机器类型”部分中找到。

#2 楼

带有dumpbin.exe选项的SDK工具/headers包含此信息，将这两个信息进行比较（我为关键信息添加了粗体）

PS [64] E:\ #4> dumpbin /headers C:\Windows\system32\cmd.exe
Microsoft (R) COFF/PE Dumper Version 10.00.40219.01
Copyright (C) Microsoft Corporation.  All rights reserved.


Dump of file C:\Windows\system32\cmd.exe

PE signature found

File Type: EXECUTABLE IMAGE

FILE HEADER VALUES
            8664 machine (x64)
               6 number of sections
        4CE798E5 time date stamp Sat Nov 20 09:46:13 2010
               0 file pointer to symbol table
               0 number of symbols
              F0 size of optional header
              22 characteristics
                   Executable
                   Application can handle large (>2GB) addresses
[...]

和

PS [64] E:\ #5> dumpbin /headers C:\Windows\syswow64\cmd.exe
Microsoft (R) COFF/PE Dumper Version 10.00.40219.01
Copyright (C) Microsoft Corporation.  All rights reserved.


Dump of file C:\Windows\syswow64\cmd.exe

PE signature found

File Type: EXECUTABLE IMAGE

FILE HEADER VALUES
             14C machine (x86)
               4 number of sections
        4CE78E2B time date stamp Sat Nov 20 09:00:27 2010
               0 file pointer to symbol table
               0 number of symbols
              E0 size of optional header
             102 characteristics
                   Executable
                   32 bit word machine
[...]

#3 楼

如果您没有完整的Windows SDK或Visual Studio，则可以使用SysInternals中的sigcheck.exe：

sigcheck.exe C:\Windows\Notepad.exe

输出：

Sigcheck v2.1 - File version and signature viewer
Copyright (C) 2004-2014 Mark Russinovich
Sysinternals - www.sysinternals.com

c:\windows\notepad.exe:
    Verified:       Signed
    Signing date:   8:59 AM 8/22/2013
    Publisher:      Microsoft Windows
    Description:    Notepad
    Product:        Microsoft« Windows« Operating System
    Prod version:   6.3.9600.16384
    File version:   6.3.9600.16384 (winblue_rtm.130821-1623)
    MachineType:    64-bit

#4 楼

我可以确认file实用程序（例如，来自cygwin的实用程序）将区分32位和64位可执行文件。它们显示如下：

32.exe: PE32 executable (GUI) Intel 80386, for MS Windows
64.exe: PE32+ executable (console) x86-64, for MS Windows

如您所见，很明显是哪个。此外，它区分控制台可执行文件和GUI可执行文件，这也很明显。

#5 楼

一种简单的方法是运行它（假设您信任它）并查看任务管理器中的“进程”选项卡。 32位进程将在进程名称的末尾显示“ * 32”。如果不是您希望在计算机上运行的东西，则可以尝试EXE Explorer。它将显示有关可执行文件的全部信息，包括32位还是64位。

#6 楼

许多人安装了出色的7-zip，并将7-Zip文件夹添加到他们的PATH中。 7-zip可以理解ZIP和RAR以外的文件格式，例如MSI文件和PE可执行文件。只需在有问题的PE文件（Exe或DLL）上使用命令行7z.exe：

7z l some.exe | more
7z l some.exe | findstr CPU

输出将包括以下行，其中CPU的行显示为x86或x64，这就是这里要问的：

Path = C:\Extra\AV\neroAacEnc.exe
Type = PE
CPU = x86
Characteristics = Executable 32-bit

Path = C:\Extra\AV\LAME\lame_enc.dll
Type = PE
CPU = x86
Characteristics = Executable DLL 32-bit

Path = C:\Extra\AV\FFmpeg\bin\ffmpeg.exe
Type = PE
CPU = x64
64-bit = +
Characteristics = Executable LargeAddress NoRelocs NoLineNums NoLocalSyms NoDebugInfo

Path = C:\Extra\AV\FFmpeg\bin\avcodec-56.dll
Type = PE
CPU = x64
64-bit = +
Characteristics = Executable DLL LargeAddress NoLineNums NoLocalSyms NoDebugInfo

#7 楼

Process Explorer的64位版本可以告诉您。只需运行可执行文件，然后打开进程的属性窗口即可。在主选项卡上，有一个条目显示“ Image：32 Bit”或“ Image：64 Bit”。

#8 楼

最简单的方法（当数据不是机密时）

我发现Virustotal File detail是找出二进制是32位还是64位的最简单方法。

Additional information选项还提供有关该文件的许多有用信息。

#9 楼

这是一个Powershell解决方案，没有任何外部依赖关系或其他任何东西。打开Powershell，在其中粘贴函数（按Enter键两次，以便返回到提示符），然后按照该函数下面的示例使用它：

function Test-is64Bit {
    param($FilePath=“$env:windir\notepad.exe”)

    [int32]$MACHINE_OFFSET = 4
    [int32]$PE_POINTER_OFFSET = 60

    [byte[]]$data = New-Object -TypeName System.Byte[] -ArgumentList 4096
    $stream = New-Object -TypeName System.IO.FileStream -ArgumentList ($FilePath, 'Open', 'Read')
    $stream.Read($data, 0, 4096) | Out-Null

    [int32]$PE_HEADER_ADDR = [System.BitConverter]::ToInt32($data, $PE_POINTER_OFFSET)
    [int32]$machineUint = [System.BitConverter]::ToUInt16($data, $PE_HEADER_ADDR + $MACHINE_OFFSET)
    $stream.Close()

    $result = "" | select FilePath, FileType, Is64Bit
    $result.FilePath = $FilePath
    $result.Is64Bit = $false

    switch ($machineUint) 
    {
        0      { $result.FileType = 'Native' }
        0x014c { $result.FileType = 'x86' }
        0x0200 { $result.FileType = 'Itanium' }
        0x8664 { $result.FileType = 'x64'; $result.is64Bit = $true; }
    }

    $result
}

这里是示例输出：

D:\> Test-is64bit

FilePath               FileType Is64Bit
--------               -------- -------
C:\Windows\notepad.exe x64         True


D:\> Test-is64bit 'C:\Program Files (x86)\Mozilla Firefox\firefox.exe'

FilePath                                           FileType Is64Bit
--------                                           -------- -------
C:\Program Files (x86)\Mozilla Firefox\firefox.exe x86        False

#10 楼

运行可执行文件然后检入进程浏览器或类似工具的方法有一些明显的缺点：


我们必须执行该进程。
对于短暂的进程（像echo hello world类型。），进程浏览器甚至可能不会注册新进程已启动。

Dumpbin.exe方法可能可以解决此问题。

另一种替代方法是使用cygwin的file命令。但是，我尚未在Windows上对其进行测试。它在Linuxes上运行良好。

Usage: file program_under_test.exe

编辑：刚刚在窗口上测试了file.exe。工作良好。 :)

#11 楼

例如，即使标记为32位的可执行文件也可以以64位运行，例如，它是可以以32位或64位运行的.NET可执行文件。有关更多信息，请参见https://stackoverflow.com/questions/3782191/how-do-i-determine-if-a-net-application-is-32-or-64-bit，其答案是：可以使用CORFLAGS实用程序来确定.NET应用程序的运行方式。

CORFLAGS.EXE输出

对于32位可执行文件：

Version   : v2.0.50727
CLR Header: 2.5
PE        : PE32
CorFlags  : 0x3
ILONLY    : 1
32BITREQ  : 1
32BITPREF : 0
Signed    : 0

对于64位可执行文件：

Version   : v2.0.50727
CLR Header: 2.5
PE        : PE32+
CorFlags  : 0x1
ILONLY    : 1
32BITREQ  : 0
32BITPREF : 0
Signed    : 0

对于可以以32位或64位运行并且将以64位运行的可执行文件如果可能的话：

Version   : v2.0.50727
CLR Header: 2.5
PE        : PE32
CorFlags  : 0x1
ILONLY    : 1
32BITREQ  : 0
32BITPREF : 0
Signed    : 0

对于可以以32位或64位运行，但是除非加载到64位进程中才可以以32位运行的可执行文件：

Version   : v4.0.30319
CLR Header: 2.5
PE        : PE32
CorFlags  : 0x20003
ILONLY    : 1
32BITREQ  : 0
32BITPREF : 1
Signed    : 0

#12 楼

我的两美分只是下载依赖项遍历，并检查其中一个可执行文件中使用了什么体系结构。
如何使用它：
只需下载应用程序，启动它，单击打开图标→找到一个* .exe文件→选择，然后在完成反射扫描后，在底部看到一个包含数据的网格，其中一列中包含“体系结构”详细信息（x86，x64）
打开可执行文件并查看构建体系结构

#13 楼

您还可以从mingw的msys捆绑包中使用file工具。它的工作方式类似于unix命令。类似的作品来自GNUwin32的file工具。

#14 楼

如果您使用的是Windows 7，请在Windows资源管理器上右键单击可执行文件，然后选择“属性”。
在属性窗口中，选择“兼容性”选项卡。
如果在“兼容模式”部分下看到Windows XP，是32位可执行文件。
如果您看到的是Windows Vista，则为64位。

#15 楼

如何在上下文菜单中添加32/64位测试
创建一个名为exetest.reg并包含以下代码的文本文件：

Windows Registry Editor Version 5.00

; What will appear in the contextual menu when right-clicking on a .exe file
[HKEY_CLASSES_ROOT\exefile\shell\command32_64]
@="32/64 bit test"

; What to do with it
; here, %1 is the file given as argument of the script
[HKEY_CLASSES_ROOT\exefile\shell\command32_64\command]
@="\"c:\temp\x86TestStart.bat\" \"%1\""

创建一个仅包含此行代码的名为x86TestStart.bat的文本文件并将其保存在C：\ temp：

c:\temp\x86or64.vbs %1

创建一个包含此代码的文本文件x86or64.vbs并将其保存在C：\ temp：

 rem Reading binary file in VBScript: http://stackoverflow.com/questions/21249440/modify-first-two-bytes-of-a-file-using-vbscript
rem Info on executables: https://dmoj.ca/problem/exe

rem x86/64 signature is located dinamycally; its position is addressed
rem from bytes in 0x3C-0x3D position.

rem Possible signatures;
rem "PE..L" (hex code: 50.45.00.00.4C) = 32 bit
rem "PE..d†" (hex code: 50.45.00.00.64.86) = 64 bit

' ------------------------------------
' Source code by Jumpkack 2015
' ------------------------------------

' Read all arguments from command line:
Set args = Wscript.Arguments

' Store first argument (full path to file)
FileName = args(0)

' Find address of executable signature:
FirstChars = readBinary(FileName)
FirstChars = FirstChars
Addr1 = asc(mid(FirstChars,61,1))
Addr2 = asc(mid(FirstChars,62,1))
AddrFinal = Addr2*256 + Addr1 + 1

' Check signature:
if ucase(hex(asc(mid(FirstChars,AddrFinal+4,2)))) = "4C" then Wscript.Echo Filename & " is a 32 bit executable."
if ucase(hex(asc(mid(FirstChars,AddrFinal+4,2)))) = "64" then Wscript.Echo Filename & " is a 64 bit executable."


Function readBinary(path)
    Dim a, fso, file, i, ts
    Set fso = CreateObject("Scripting.FileSystemObject")
    Set file = fso.getFile(path)
    If isNull(file) Then
        wscript.echo "File not found: " & path
        Exit Function
    End If
    Set ts = file.OpenAsTextStream()
    'a = makeArray(file.size)
    a=""
    i = 0
    While (Not ts.atEndOfStream) and (i<60000)
       'a(i) = ts.read(1)
       a = a + ts.read(1)
       i = i + 1
    Wend
    ts.close
    readBinary = a
 End Function
 

双击exetest.reg文件：Windows注册表中将添加一个新密钥：

[HKEY_CLASSES_ROOT\exefile\shell\command32_64\command]

它将显示为“ 32/64位测试”
，请在上下文菜单中右键单击可执行文件。
单击该项目将导致启动批处理文件c:\temp\x86TestStart.bat\，该文件将启动VBscript文件x86or64.vbs，该文件读取exe签名并显示结果。
不想篡改注册表，只需将.vbs文件复制到QuickLaunch栏中，然后将可执行文件拖到该文件上即可。

#16 楼

但是，WSL的file命令工作得很好。

file /mnt/c/p/bin/rg.exe将输出：

/mnt/c/p/bin/rg.exe: PE32+ executable (console) x86-64, for MS Windows

file /mnt/c/p/bin/u.exe将输出：

/mnt/c/p/bin/u.exe: PE32 executable (GUI) Intel 80386, for MS Windows, UPX compressed

#17 楼

我还没有看到这个提到。有一个NTCore的名为CFF Explorer的PE查看器程序，可以为您提供此信息。可以下载并以便携式方式运行，但也可以根据需要安装。

右键单击二进制文件（.exe，.dll等），然后选择“使用CFF Explorer打开”。转到Nt标头->文件标头->在“特征”字段上，单击“单击此处”。

如果是32位程序，则将选中“ 32位字机”复选框。例如，我已经安装了32位版本的Notepad ++，如下图所示。否则，它是64位。

#18 楼

Windows 10的任务管理器中的platform列
Windows 7没有平台列。因此Windows 7任务管理器将不会显示它。

在Windows 10中，选择列不再处于“视图”之下。在Windows 10中，在“详细信息”选项卡中，右键单击列标题，然后单击“选择列”。然后选中“平台”框。

#19 楼

根据我的测试，我在Powershell中使用的简单版本似乎100％可靠。

Clear-Host
$Check32Bit = $null
$Check64Bit = $null

$File = "C:\WINDOWS\system32\notepad.exe"

$ExeData = get-content $File -totalcount 50

$Check32Bit = $ExeData | select-string -Pattern "PE..L" -Quiet
$Check64Bit = $ExeData | select-string -Pattern "PE..d†" -Quiet

if ($Check32Bit) {
"File is 32bit (x86)"
}
elseif ($Check64Bit) {
"File is 64bit (x64)"
}
else {
"Couldn't identify if the file is 32bit or 64bit"
}

#20 楼

我的两分钱：
作为C ++开发人员，依赖行者（http://www.dependencywalker.com/）非常有用，不仅显示64/32位，而且还显示涉及的每个Dll：


您可以在每个文件名的左侧看到64 ...

#21 楼

运行应用程序
打开任务管理器
右键单击并创建转储文件
注意路径
转到路径并在Visual Studio中打开.DMP转储
您会得到所有详细信息
检查流程体系结构：

#22 楼

我知道这里有很多答案，但是它们都不是真正可移植的，需要某种工具才能使用。我想以编程方式为所有平台解决此问题。这可以在任何使用C编译器的计算机上运行。

 #include <stdio.h>
#include <fstream>      // std::fstream
#include <stdio.h>
#include <string.h>


char Header      [0x200];
char Elf32Magic  [20] = "\x7f\x45\x4c\x46";  //7F 45 4C 46  01 // ELF32 
char Elf64Magic  [20] = "\x7f\x45\x4c\x46";  //7F 45 4C 46  02 // ELF64
char Win32Magic  [20] = "\x50\x45\x00\x00\x4C\x01";// PE32
char Win64Magic  [20] = "\x50\x45\x00\x00\x64\x86";// PE64

char PeHeader[20] = {};
void CheckWinHeader(){
  int k = 0;
  for (int i = 0; i < 0x200; i++)
  {
   if(Header[i] == 0x50 && Header[i+1] == 0x45) // PE     
     {

      for(int j = i; j < i + 6; j++)
      {
        PeHeader[k] = Header[j];
        k++;
       //printf("%hhx", Header[j]); 
      }
     }
  }
}


int main(){
  std::fstream fs; 
  fs.open ("/home/PATH/TO/YOUR/BINARY", std::fstream::in | std::fstream::out | std::fstream::app);
  fs.read( Header , 0x200);
 
  if(memcmp ( Header, Elf32Magic, 5 ) == 0 ){
    printf("ELF 32 Match Found ! \n");
  }
  if(memcmp ( Header, Elf64Magic, 5 ) == 0 ){
    printf("Elf 64 Match Found ! \n");
  }

  CheckWinHeader();

  if(memcmp ( &PeHeader, Win32Magic, 6 ) == 0 ){
    printf("Win 32 Match Found ! \n");
  }

  if(memcmp ( &PeHeader, Win64Magic, 6 ) == 0 ){
    printf("Win 64 Match Found ! \n");
  }

 fs.close();
 return 0;
}
 

通过使用任何编译器进行编译。我用的是g ++。

g++ Bincheck.cpp -o bincheck
./bincheck

#23 楼

您可以在VS命令提示符下使用corflags更改计算机类型
https://docs.microsoft.com/zh-cn/dotnet/framework/tools/corflags-exe-corflags-conversion-tool
更改机器类型：

corflags d:\abc.exe /32BITREQ- 

使用corflags进行验证：

corflags d:\abc.exe 

32BITREQ : 0 ** 0表示64位