1. 「PEファイル」とは、EXEファイルやDLLファイルなど、WindowsOSにおいて一般的に使用される実行可能ファイルのフォーマットを指します。この『うさみみハリケーン』補助ツール『UMPE』(同梱UMPE.exeとUMPE64.exe)は、プロセス実行中にプロセスメモリ上からPEファイルをダンプしたり、既存のPEファイルのヘッダなどに格納された各種設定の参照や変更を行うことができます。PEファイル解析の補助機能として、ヘキサエディタ（バイナリエディタ）や逆アセンブラおよび「仲介DLL(Proxy DLL)ソースコード出力機能」などを実装しています。
   
   また、マルウェアの解析やアンパックの補助にも使用可能であり、パッカーやコンパイラの判別を行う『PEiD』互換機能も実装しています。
   
   32ビット版のうさみみハリケーンのメニューから起動するのは32ビット版のUMPE(UMPE.exe)です。同様に64ビット版のうさみみハリケーンのメニューからは64ビット版のUMPE(UMPE64.exe)が起動されます。対象となるプロセスやPEファイルが32ビット版ならばUMPE.exeを使い、64ビット版ならばUMPE64.exeを使います。32ビット版のUMPE.exeでは、64ビット版のプロセスは列挙されないことに注意してください。
   
   32ビット版のUMPE(UMPE.exe)はWindows Vista以降が動作環境で、64ビット版のUMPE(UMPE64.exe)はWindows 7以降の64ビット版Windows OSが動作環境です。
   
   PEファイルの仕様については、MicrosoftのPE Format資料が参考になります。
   
   『うさみみハリケーン』には、ヘキサエディタ『へきさにゃん』や、実行可能ファイルのリソース文字列ビューア『ResStrView_DotNET35.exe/ResStrView_DotNET40.exe』も同梱していますので、状況に応じて、解析の工数を低減させるために、UMPEと併用されることをお勧めします。ただし、アクセス権などの問題により、UMPEで開いている状態のファイルへの使用は非推奨です。
   
   また、同梱の汎用ファイルアナライザ『青い空を見上げればいつもそこに白い猫』(AoZoraSiroNeko.exe)に実装した、「文字コード別の文字列抽出」、「YARAルールでスキャン」、「Detect It Easy DLL版対応」、「（ピンポイント型）x86/x64逆アセンブル」、「バイナリデータの視覚化表示」および「ファイル・データ抽出」機能などの併用が役立つケースもあると考えられます。この「YARAルールでスキャン」機能では、実行ファイルの比較分類を想定した、複数の実行ファイルを対象とする、各種ハッシュ、ssdeep・impfuzzy類似度、エントロピー差異、コンパイル日時および開発環境言語などのリスト表示にも対応しています。
2. 
   
   

1. 起動後まず表示されるのは「PEダンパー」の画面です。ダイアログ右最上部にあるリストビューに表示されるプロセス一覧上でプロセスを選択すると、そのプロセスで使用されているモジュールを、プロセス一覧の下にあるリストビューに一覧表示します。このモジュールの一覧上で特定のモジュールを選択すると、そのモジュールに関する情報を右下部のエディットボックスに表示し、また、そのモジュールに対するPEファイルの解析といった操作が可能になります。なお、プロセス選択時には、モジュール一覧上でプロセスのメインモジュール(一般的にはEXEファイル)を自動で選択するようにしています。
2. 
   
   
3. 「PEエディタを起動して編集」ボタンを押すと、選択されたモジュール、あるいは別途モジュールを指定してPEファイルの解析や編集を行う「PEエディタ」の画面に切り替わります。この際、ラジオボタンの[モジュールのコピー]を選択していると、選択されたモジュールがあるフォルダにコピーを作成し、そのコピーをPEエディタでオープンします。モジュール一覧で対象PEファイルを指定する必要がない場合は、ラジオボタンは初期設定の[モジュール指定なし]のままで「PEエディタを起動して編集」ボタンを押します。
4. 
   
   
5. PEエディタでは、ダイアログ左上部にあるツリービューでカテゴリを選択し、そのカテゴリに応じた操作を行います。
6. 
   
   
7. PEダンパー・PEエディタともに、対象PEファイルをうさみみハリケーンで連携して解析できる機能を実装しています。うさみみハリケーンはマルウェアによる乗っ取り対策としてEXEファイル名の変更を推奨していますので、うさみみハリケーンのEXEファイル名をコンボボックスで指定してから[うさみみハリケーンで解析]ボタン(PEダンパー画面)、[解析対象を起動して解析開始]ボタン(PEエディタのPEファイル画面)を押します。64ビット版のUMPE(UMPE64.exe)では、うさみみハリケーンの64ビット版(UsaMimi64.exe)を使用します。
8. 
   
   
9. 必要に応じ、対象PEファイルに対するエクスプローラのコンテキストメニューを表示して、さらに別の解析ツールなどに対象PEファイルを渡すことも可能です。
10. 
    
    
11. 高DPI環境などで、表示されるフォントのサイズが小さいと感じる場合は、うさみみハリケーンのインストールフォルダ内に設定ファイルを作成し、フォントサイズを指定します。実際には、名前が「UMPE.ini」と「UMPE64.ini」のテキストファイルを作成し、以下の内容を貼り付けます。フォントサイズは14が標準で、10から28の数値を指定可能です。このフォントサイズ設定は、UMPEが起動時に読み込みます。起動後のフォントサイズ変更はできません。フォントサイズを必要以上に大きくすると、エディットボックスでの表示内容が見えなくなるので注意が必要です。
    
    [Setting]
    FontSize=16
    

• プロセスの解析のみを行うならば、解析対象プロセスのビット数に応じて、32ビット版UsaMimi.exeかUsaMimi32.exeあるいは、64ビット版UsaMimi64.exeを直接起動します。UMPE.exeあるいはUMPE64.exeを起動してから[うさみみハリケーンで解析]ボタンを使う必要はありません。

• PEエディタでの書き換え内容によっては、対象PEファイルが起動できなくなる可能性があります。そのため、このような事態に備えて対象PEファイルのバックアップを作成することをお奨めします。
• 
  
  
• すでに起動されているPEファイルは読み取り専用モードでしかオープンできません。他のプロセスでオープンされているPEファイルも基本的に読み取り専用モードでオープンします。
• 
  
  
• このPEエディタは、32ビット版用(UMPE.exe)と64ビット版用(UMPE64.exe)を用意しています。対象となるプロセスやPEファイルが32ビット版ならばUMPE.exeを使い、64ビット版ならばUMPE64.exeを使います。32ビット版のUMPE.exeでは、64ビット版のプロセスは列挙されないことに注意してください。
• 
  
  
• このPEエディタでは、PEヘッダが部分的に削除されたといった、操作が加えられたPEファイルは扱えないことがあります。必要に応じて、同梱のヘキサエディタ「へきさにゃん」や、同梱の汎用ファイルアナライザ「青い空を見上げればいつもそこに白い猫」を併用してください。
• 
  
  
• リソース列挙などの処理では、対象PEファイルの一時的なコピーを作成します。そのため、対象PEファイルのサイズが約2GBといった特殊なケースでは、処理に失敗したり、極端に時間を要するケースが考えられます。

• ファイルアナライザの『PEiD』と互換性のある、対象PEファイルのパッカー情報やコンパイラの情報を取得・表示する機能を実装しています。なお、同梱ファイルアナライザ「青い空を見上げればいつもそこに白い猫」は、ファイルアナライザ『Detect It Easy』の各種ファイル形式/パッカー/コンパイラ判別エンジンに対応していますので、必要に応じて併用されることをお勧めします。
• 
  
  
• この機能は同梱のデータベースファイル「UserDB.txt」を参照するように設定しています。当ソフトウェアに同梱しているのは、『PEiD』が内部に持つデータベース分を含む特別な「UserDB.txt」です。一般的には「UserDB.txt」をより新しくより大きなサイズのものに更新することで、より多くのパッカーやコンパイラの判別が可能になります。しかし、ネット上で配布されている「UserDB.txt」は通常『PEiD』が内部に持つデータベースは含まれていませんので、同梱の「UserDB.txt」と単純に差し替えることはできません。また、「UserDB.txt」参照時には、改行や半角スペースの位置を厳密にチェックしますので、シグネチャの追加等編集を行う際は、必ず既存のフォーマットを踏襲するようにしてください。なお、当ソフトウェアでは、逆アセンブル機能に併せて、「PEiDシグネチャの出力機能」も実装しています。
• 
  
  
• 特に日本のPCゲームで使用されることの多い、スクリプト記述型ゲーム製作ソフトを用いたゲームの場合、この機能で出力されるコンパイラの情報は、基本的に同ゲーム製作ソフトが流用した実行ファイルのコンパイラの情報となります(『Borland C++』や『Microsoft Visual C++』など)。
• 
  
  
• (注)下記PEiDLL.DLLは過去のバージョンで同梱・使用していたものです。現バージョンでは不要であり削除可能です。
  PEiDLL.DLLは、PEiDと同様に以下のレジストリ項目を使用します。
  [HKEY_CURRENT_USER\Software\PDLL]

• PEエディタが実装しているヘキサエディタ（バイナリエディタ）は、ヘキサエディタモジュール「16Edit FX」に日本語対応化と機能追加を行ったものです。基本機能は一般的なバイナリエディタと同じですが、バイナリデータの貼り付けによるファイルサイズの増加には対応していません。ファイルサイズの増加はPEエディタが対応しています。このバイナリエディタが用いるクリップボードの形式は独自仕様です。このバイナリエディタでコピーされたデータしか貼り付けできません。
  
  基本的に、PEファイルは32ビット版・64ビット版ともにサイズが4GBを超えることは無いため、このバイナリエディタはオフセット0xFFFFFFFFまで編集可能にしています。

• PEエディタで読み書き可能モードでオープンしているPEファイルは起動することができません。対象PEファイルを起動してうさみみハリケーン等との連携解析を行う際には、あらかじめ、対象PEファイルを読み取り専用モードでオープンする必要があります。

• Windows Vista以降では、EXEファイルやDLLファイルといった実行ファイルがプロセスメモリ上に読み込まれるアドレスをランダム化する、セキュリティ上の脆弱性を緩和する機能ASLR(Address Space Layout Randomization)が実装されています。既存のASLR対応EXEファイルでこのASLRを無効化し、既定の読み込まれるアドレスであるイメージベースが0x00400000(32ビット版)になるという前提で、プログラムコードを埋め込んだり、パッカーを用いたいケースや、固定アドレスを指定してメインモジュール（読み込まれたEXEファイル）の該当プロセスメモリを書き換えたいケースでは、下記の処理で対処可能です。
  
  まず、当ソフトウェア起動時に表示されるPEダンパーの画面で、そのまま[PEエディタを起動して編集]ボタンを押し、PEエディタを起動します。次に対象のEXEファイルを指定します。実行中のEXEファイルは書き換えできないため、もし実行中ならばあらかじめ終了させておく必要があります。 PEエディタの画面左側ツリービューで、[PEファイル]→[ヘッダ]以下にある[フラグ]を選択し、以下のようにフラグを変更してから、[書き込み実行]ボタンを押します。
  「Characteristics」にある「RELOCS_STRIPPED」フラグをオン(必須ではない)
  「DllCharacteristics」にある「DYNAMIC_BASE」フラグをオフ
  イメージベースが0x00400000(32ビット版)ではない場合は、必要に応じて上記[ヘッダ]欄で変更します。
  
  なお、特定プロセスではなく、全てのプロセスでASLRを無効化したい場合は、以下のレジストリ操作を行うことで対処できます。
  「HKLM\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management\MoveImages」に値0を設定。

• PEファイルのヘッダを書き換えることで、特定ソフトウェアやゲームの動作不具合を解消できるケースがあります。この操作は、PEエディタの画面左側ツリービューで、[PEファイル]→[ヘッダ]や、[ヘッダ]以下にある[フラグ]の画面で行います。
  
  新しいコンパイラでコンパイルされた実行ファイルが、Windows XPなどの古いWindows上で起動しない場合に、PEヘッダの「バージョン項目」内にある、「OS」と「Subsystem」の値を適切な値に修正することで起動可能になるケースがあります。この場合、実行環境がWindows XPならば、「OS」と「Subsystem」の値を5.1に書き換えます。
  
  動作が不安定なソフトウェアやゲームで、フラグ「Characteristics」の項目「LARGE_ADDRESS_AWARE」をオフにすると、動作が安定することがあります。

• 当ソフトウェアで表示するインポート関数名の情報は、解析妨害を意図したPEファイル改変がなされたならば、正確に表示できないことがあります。そのため、うさみみハリケーンのメニュー「デバッグ」以下にある、「モジュール別参照関数表示」機能や、「指定メモリエリアでIAT検索」機能の併用をお勧めします。なお、遅延ロードされたDLLからのインポート関数は、DLLが実際に読み込まれないと使用されません。同関数の実行されたか否かの状況は、上記うさみみハリケーンの「モジュール別参照関数表示」機能で確認することができます。

• Windows 8では、このソフトウェアがOS仕様上の制約を受けるため、以下の問題が生じる可能性があります。ただし、32ビット版Windows 8かつ管理者権限での実行時には、たいてい以下の問題は生じず、正常に動作します。
  
  ・エクスプローラのコンテキストメニュー表示で、一部のメニュー項目のみ表示される。
  ・システムファイルのデジタル署名の情報取得に失敗する。
  ・エディットボックスでの入力時に漢字の変換が出来ない。
  他にも親フォルダやWebページのオープン処理が不能になりますが、このオープン処理は「UMPEhelper.exe」を用いて問題を回避しています。
  
  これらのOS仕様上の問題は、公開されたWindows 8のアップデートで解決することはなく、「Windows 8の仕様」として未解決のまま残されました。なお、MicrosoftはCoInitializeEx関数での特定引数指定による問題解決策を提示していますが、このソフトウェア での試行では解決に至りませんでした。この問題の根本的な解決策は、このソフトウェアを改めて製作し直すことですが、あまりにも工数がかかるため、対応を留保しています。

▲クリップボードへコピーするバイナリデータの表示テキスト形式（例）
unsigned char aData[] = 
{
        0x44, 0x65, 0x62, 0x75, 0x67, 0x53, 0x74, 0x72, 0x69, 0x6E, 0x67, 0x3A, 0x92, 0x6C, 0x91, 0x9D, 
        0x89, 0xC1, 0x83, 0x7B, 0x83, 0x5E, 0x83, 0x93, 0x82, 0xAA, 0x89, 0x9F, 0x82, 0xB3, 0x82, 0xEA, 
        0x82, 0xDC, 0x82, 0xB5, 0x82, 0xBD, 0x00
}