基于 339 个 Windows PE 样本的复测与误报分析 项目地址： https://github.com/mrxiaofaker/PE_CodeCave 当前分析版本： 0727f0d 这个项目最早不是为了做“漏洞扫描器”。 我一开始只是想用 C 写一个自己的 PE 分析工具。那时候我在学节表、RVA、文件偏移这些东西，觉得只看资料记不住，干脆把“找代码洞”做成一个能运行的程序。输入 PE，解析节区，扫描连续的 0x00 、 0x90 、 0xCC ，再把结果输出成 HTML 和 JSON。 我一开始觉得逻辑挺直观：可执行节里有连续空白字节，大小超过阈值，那就是 Code Cave。 我拿本地一个 Windows 应用目录跑了一批样本。339 个 PE，最后 339 个都有“代码洞”，其中 333 个直接顶到单文件 150 条上限。那一刻我第一反应不是“发现了什么”，而是这套判断标准