1. Inno Setup#

• 特征字符串：Inno Setup、JorMunk
• 文件结构：标准 PE，不可被 7-Zip 直接解包，需 innounp / innoextract
• 安装后遗留：unins000.dat + unins000.exe

2. NSIS#

• 特征字符串：Nullsoft Install System、$INSTDIR、$TEMP
• 文件结构：可被 7-Zip 直接解包，解包后含 $PLUGINSDIR 文件夹
• 文件头魔术字节：偏移 4 字节处为 EF BE AD DE

3. WiX Toolset#

• 分两种形态：.msi 是 OLE 结构化存储；Burn 捆绑包是 .exe
• Burn 特征字符串：WiX、Burn、WixBundleAction

4. InstallShield#

• 特征字符串：InstallShield、Macrovision、InstallScript
• 内嵌 ISSetup.dll、_ISRES、_SETUP.DLL
• 早期版本内嵌 .cab

5. Advanced Installer#

• 特征字符串：Advanced Installer、Caphyon
• 通常包裹一个 MSI

6. Squirrel / Velopack#

• 特征字符串：Squirrel、velopack、vpk、Update.exe
• 内嵌 NuGet .nupkg 结构
• 程序集名含 Squirrel 或 Velopack
• 典型交互特征：单文件，双击直接启动程序，后台静默完成安装，用户无感知，不会弹出安装向导

Squirrel / Velopack 的设计哲学决定了它强制安装到 %LocalAppData%\<AppName> 下，没有任何交互界面，用户完全没有自定义路径的机会。对于有洁癖或习惯把程序装到非系统盘的人来说确实很难受。

实操流程#

1
1. file xxx.exe
2
2. strings xxx.exe | grep -iE "(inno|nsis|nullsoft|wix|burn|installshield|squirrel|velopack|caphyon)"
3
3. 看偏移 4 字节魔术字节（NSIS：EF BE AD DE）
4
4. 7-Zip 尝试解包（能解且有 $PLUGINSDIR → NSIS）
5
5. 安装后看残留文件（unins000.dat → Inno）
6
6. llvm-objdump -p 看导入表（判断是否 .NET）