万能是一款用于病毒分析的辅助工具，具备多种文件格式识别功能。它利用超级巡警的格式识别引擎，集成了查壳、PE文件编辑、虚拟机脱壳、进程内存查看/DUMP、导入表抓取（内置虚拟机可解密某些加密的导入表）、PE文件重建及附加数据处理等多项功能。

功能介绍：

一、查壳功能：

支持文件和目录的拖拽操作，可通过右键设置对文件和目录进行查壳功能，除了FFI自带的壳库unpack.avd外，

还可使用扩展壳库（必须命名为userdb.txt，此库格式兼容PEID库格式，

您可以将自己的userdb.txt放入以增强壳检测功能）。

注：若通过扩展库特征查出的壳，其后会有 * 标志以示区别。

二、脱壳功能：

若查壳后Unpack按钮可用，则表示当前处理文件可进行脱壳处理，

采用虚拟机脱壳技术，无需担忧当前处理文件可能对系统造成危害。

三、PE编辑功能：

程序主界面可显示被检查程序的入口点、入口点物理偏移、区段等信息，并提供强大的编辑功能。

其中，PE Sectn后按钮可编辑当前文件的节表，点击后将弹出Sections Editor窗口。

主要功能包括：

详细显示节段信息

可查看并编辑区段名称、大小、执行属性等相关信息。

清除选定的区段名称

对区段进行自动修复

从磁盘加载区段

保存区段到磁盘

增加新的区段

从文件中删除区段

从PE头中删除区段（区段内容实质仍在）

使用指定数据填充区段

SubSystem后按钮可以显示PE文件的详细信息，支持对PE文件的Dos头、

NT头等信息进行详细编辑，支持查看PE文件的导出表、导入表信息，本项目功能细致，具体请参考界面。

四、附加数据检测：

可扫描应用程序是否包含附加数据，并提供附加数据详细的起始位置和大小，

可以使用Del Overlay按钮和Save Overlay按钮进行相应处理。

五、支持PEid插件：

点击Options按钮选择Load Plugins即可使用PEid的插件功能，无需重启FFI，

插件必须放置在plugins目录下，然后点击Plugin即可查看相应插件信息。

六、ReBuild PE 功能：

此功能主要用于修复脱壳后的PE文件，

通常可用于解决脱壳后无法重新加壳等问题，使用ReguildPE按钮即可完成此功能。

七、第三方工具支持：

在Options按钮中，点击Manage Tools按钮，可以通过右键菜单添加或删除IDA/OllyDBG等第三方工具，

这样便可直接在FFI中启动OllyDBG、IDA等工具来反汇编当前文件。

注：添加第三方工具后，点击Plugin按钮即可查看您添加的工具信息，

点击即可使用此工具打开当前处理文件。

八、进程DUMP：

点击TaskView按钮后，可以进行进程终止及进程中模块内存的dump，

目前支持三种dump方式：Dump Full、Dump Partial和Dump Region，

还支持自动修正主模块内存镜像大小。

九、导入表抓取：

点击Get IAT按钮后，选择进程即可抓取导入表，

在DumpFixer前请填入正确的OEP信息。

如果出现不可识别的函数信息，您可以设置虚拟机解密步数，

在导入表信息框中右键点击VM Decode尝试解密该函数。

如发现抓取的导入表信息并非您所期望的，

可在导入表信息框中右键点击Del Thunk或Cut Thunk进行删除。

若需对进程的非主模块抓取导入表，

请在Manipulation records窗口中右键点击相应模块信息选择Load this module，

这样抓取的导入表即为该模块的。

更新日志：

V1.4新增功能：

新增自动获取导入表功能，采用虚拟机虚拟执行技术进行导入表的获取，

具备自动解密功能，能够轻松获取ImportREC无法正确获取的导入表。

（详见下文节九）如对该功能有更多想法，欢迎联系我们。

增加了更详细的细节描述，以便对PE文件进行更细致的解析，

对错误文件/无效的PE文件/无法执行的PE文件提供错误原因报告。感谢Pedro Lopez对该功能的建议。

新增皮肤功能，使界面更加美观，可在设置中切换自己喜爱的皮肤风格。

感谢fly（unpack.）对该功能的建议。扩展签名库集成了Fly收集的签名库，感谢fly（unpack.cn）的授权。

此外，还修正了其他几个BUG。