Brainstorming: Datei mit definierter Entropie erzeugen

[Uwe Raabe]

Wie ermittelst du denn die Entropie?

[PeterPanino]

Zitat von Uwe Raabe:

Wie ermittelst du denn die Entropie?

Es geht um "Shannon's Formula", die MiTeC auf meine Anregung hin in TPEReader integriert hat.

Zur Ermittlung zweckentfremde ich die Klasse TPEReader von MiTeC:

Delphi-Quellcode:

uses
  MiTeC_PE;

var
  PE: TPEReader;

procedure TForm3.FormCreate(Sender: TObject);
begin
  PE := TPEReader.Create;
  try
    PE.FileName := 'R:\test.txt';
    CodeSite.Send('TForm3.FormCreate: ', PE.Entropy.ToString);
  finally
    PE.Free;
  end;
end;

[Uwe Raabe]

Zitat von PeterPanino:

Es geht um "Shannon's Formula",

OK, das ist dann allerdings eine andere Definition von Entropie.

[Rollo62]

Die Entropie hängt doch sicher auch vom Zeichensatz ab, ob english, kyrilliusch, chinesisch, ANSI, UTF16, ...

[KodeZwerg]

In Bezug zu PE Dateien vermute ich stellt die Entropy dar, ob Datei gepackt wurde. 8 sollte maximum Darstellen, also stark gepackt und 1 wäre zu 100% ungepackt. Kann ich gerade nicht nachvollziehen da mir diese Unit/Klasse fehlt, zum nachschauen kaufe ich das nicht.

[PeterPanino]

Zitat von KodeZwerg:

In Bezug zu PE Dateien vermute ich stellt die Entropy dar, ob Datei gepackt wurde. 8 sollte maximum Darstellen, also stark gepackt und 1 wäre zu 100% ungepackt. Kann ich gerade nicht nachvollziehen da mir diese Unit/Klasse fehlt, zum nachschauen kaufe ich das nicht.

Nein, es ist wirklich die Entropie-Berechnung laut Shannon's Formula.

[PeterPanino]

Zitat von KodeZwerg:

In Bezug zu PE Dateien vermute ich stellt die Entropy dar, ob Datei gepackt wurde. 8 sollte maximum Darstellen, also stark gepackt und 1 wäre zu 100% ungepackt. Kann ich gerade nicht nachvollziehen da mir diese Unit/Klasse fehlt, zum nachschauen kaufe ich das nicht.

Der GRUND für deine Vermutung? Damit wir das nachvollziehen können.

Ich vermute z.B., dass die Mondlandung gefaked war wie vieles andere - und dafür gibt es gute Gründe ...

[KodeZwerg]

Das wäre in Bezug auf PE Sinnvoll, das ist der Grund, ob mit oder ohne Mondlandung. Es gibt mehrere PE Tools die eine Analyse durchführen wo dort eine Entropy als "Packer Verdacht" gewertet wird. Grund genug?

[KodeZwerg]

Zitat von PeterPanino:

Zitat von KodeZwerg:

Es gibt mehrere PE Tools die eine Analyse durchführen wo dort eine Entropy als "Packer Verdacht" gewertet wird.

Kannst du diese leicht abwertend klingende Behauptung beweisen?

Ein hoher Entropie-WERT bei einer PE-Analyse weist tatsächlich auf einen Packer hin. Das ist eine bewiesene Tatsache, die von allen Fachleuten geteilt wird. Oder möchtest du das in Abrede stellen?

Seit wann ist es abwertend wenn ein PE Tool eine Entropy berechnet? Ich empfinde es als Aufwertung. Ich muss nichts beweisen.
Ich wiederhole nochmal, man bemerke das was nun fett geschrieben ist.

Zitat von KodeZwerg:

In Bezug zu PE Dateien vermute ich stellt die Entropy dar, ob Datei gepackt wurde. 8 sollte maximum Darstellen, also stark gepackt und 1 wäre zu 100% ungepackt. Kann ich gerade nicht nachvollziehen da mir diese Unit/Klasse fehlt, zum nachschauen kaufe ich das nicht.

Von daher kann ich Deinen letzten Satz nirgends einordnen, nur das Du wiederholst was ich Schrieb und ne merkwürdige Frage dazu stellst obwohl Antwort bereits vorliegt?!

Ich halte mich hier mal raus, Du wirst schon Recht haben und mit Deiner auf PE Dateien basierte Entropy Berechnung auch anderswo Sinnvolle Einsatzmöglichkeiten finden.

[PeterPanino]

Zitat von Rollo62:

Die Entropie hängt doch sicher auch vom Zeichensatz ab, ob english, kyrilliusch, chinesisch, ANSI, UTF16, ...

In diesem Fall wird das byteweise (also nicht als Text) aus der Datei ausgelesen.