在Linux上如何分析二進制文件

小編給大家分享一下在Linux上如何分析二進制文件，希望大家閱讀完這篇文章之后都有所收獲，下面讓我們一起去探討吧！

file

它的作用：幫助確定文件類型。

這將是你進行二進制分析的起點。我們每天都在與文件打交道，并非所有的文件都是可執行類型，除此之外還有各種各樣的文件類型。在你開始之前，你需要了解要分析的文件類型。是二進制文件、庫文件、ASCII  文本文件、視頻文件、圖片文件、PDF、數據文件等文件嗎?

file 命令將幫助你確定你所處理的文件類型。

$ file /bin/ls /bin/ls: ELF 64-bit LSB executable, x86-64, version 1 (SYSV), dynamically linked (uses shared libs), for GNU/Linux 2.6.32, BuildID[sha1]=94943a89d17e9d373b2794dcb1f7e38c95b66c86, stripped $ $ file /etc/passwd /etc/passwd: ASCII text $

ldd

它的作用：打印共享對象依賴關系。

如果你已經在一個可執行的二進制文件上使用了上面的 file 命令，你肯定會看到輸出中的“動態鏈接dynamically  linked”信息。它是什么意思呢?

在開發軟件的時候，我們盡量不要重造輪子。有一組常見的任務是大多數軟件程序需要的，比如打印輸出或從標準輸入/打開的文件中讀取等。所有這些常見的任務都被抽象成一組通用的函數，然后每個人都可以使用，而不是寫出自己的變體。這些常用的函數被放在一個叫  libc 或 glibc 的庫中。

如何找到可執行程序所依賴的庫?這就是 ldd 命令的作用了。對動態鏈接的二進制文件運行該命令會顯示出所有依賴庫和它們的路徑。

$ ldd /bin/ls         linux-vdso.so.1 =>  (0x00007ffef5ba1000)         libselinux.so.1 => /lib64/libselinux.so.1 (0x00007fea9f854000)         libcap.so.2 => /lib64/libcap.so.2 (0x00007fea9f64f000)         libacl.so.1 => /lib64/libacl.so.1 (0x00007fea9f446000)         libc.so.6 => /lib64/libc.so.6 (0x00007fea9f079000)         libpcre.so.1 => /lib64/libpcre.so.1 (0x00007fea9ee17000)         libdl.so.2 => /lib64/libdl.so.2 (0x00007fea9ec13000)         /lib64/ld-linux-x86-64.so.2 (0x00007fea9fa7b000)         libattr.so.1 => /lib64/libattr.so.1 (0x00007fea9ea0e000)         libpthread.so.0 => /lib64/libpthread.so.0 (0x00007fea9e7f2000) $

ltrace

它的作用：庫調用跟蹤器。

我們現在知道如何使用 ldd  命令找到一個可執行程序所依賴的庫。然而，一個庫可以包含數百個函數。在這幾百個函數中，哪些是我們的二進制程序正在使用的實際函數?

ltrace  命令可以顯示運行時從庫中調用的所有函數。在下面的例子中，你可以看到被調用的函數名稱，以及傳遞給該函數的參數。你也可以在輸出的最右邊看到這些函數返回的內容。

$ ltrace ls __libc_start_main(0x4028c0, 1, 0x7ffd94023b88, 0x412950 <unfinished ...> strrchr("ls", '/')                                                                  = nil setlocale(LC_ALL, "")                                                               = "en_US.UTF-8" bindtextdomain("coreutils", "/usr/share/locale")                                    = "/usr/share/locale" textdomain("coreutils")                                                             = "coreutils" __cxa_atexit(0x40a930, 0, 0, 0x736c6974756572)                                      = 0 isatty(1)                                                                           = 1 getenv("QUOTING_STYLE")                                                             = nil getenv("COLUMNS")                                                                   = nil ioctl(1, 21523, 0x7ffd94023a50)                                                     = 0 << snip >> fflush(0x7ff7baae61c0)                                                              = 0 fclose(0x7ff7baae61c0)                                                              = 0 +++ exited (status 0) +++ $

hexdump

它的作用：以 ASCII、十進制、十六進制或八進制顯示文件內容。

通常情況下，當你用一個應用程序打開一個文件，而它不知道如何處理該文件時，就會出現這種情況。嘗試用 vim  打開一個可執行文件或視頻文件，你屏幕上會看到的只是拋出的亂碼。

在 hexdump 中打開未知文件，可以幫助你看到文件的具體內容。你也可以選擇使用一些命令行選項來查看用 ASCII  表示的文件數據。這可能會幫助你了解到它是什么類型的文件。

$ hexdump -C /bin/ls | head 00000000  7f 45 4c 46 02 01 01 00  00 00 00 00 00 00 00 00  |.ELF............| 00000010  02 00 3e 00 01 00 00 00  d4 42 40 00 00 00 00 00  |..>......B@.....| 00000020  40 00 00 00 00 00 00 00  f0 c3 01 00 00 00 00 00  |@...............| 00000030  00 00 00 00 40 00 38 00  09 00 40 00 1f 00 1e 00  |....@.8...@.....| 00000040  06 00 00 00 05 00 00 00  40 00 00 00 00 00 00 00  |........@.......| 00000050  40 00 40 00 00 00 00 00  40 00 40 00 00 00 00 00  |@.@.....@.@.....| 00000060  f8 01 00 00 00 00 00 00  f8 01 00 00 00 00 00 00  |................| 00000070  08 00 00 00 00 00 00 00  03 00 00 00 04 00 00 00  |................| 00000080  38 02 00 00 00 00 00 00  38 02 40 00 00 00 00 00  |8.......8.@.....| 00000090  38 02 40 00 00 00 00 00  1c 00 00 00 00 00 00 00  |8.@.............| $

strings

它的作用：打印文件中的可打印字符的字符串。

如果你只是在二進制中尋找可打印的字符，那么 hexdump 對于你的使用場景來說似乎有點矯枉過正，你可以使用 strings 命令。

在開發軟件的時候，各種文本/ASCII 信息會被添加到其中，比如打印信息、調試信息、幫助信息、錯誤等。只要這些信息都存在于二進制文件中，就可以用  strings 命令將其轉儲到屏幕上。

$ strings /bin/ls

readelf

它的作用：顯示有關 ELF 文件的信息。

ELF(可執行和可鏈接文件格式Executable and Linkable File Format)是可執行文件或二進制文件的主流格式，不僅是  Linux 系統，也是各種 UNIX 系統的主流文件格式。如果你已經使用了像 file 命令這樣的工具，它告訴你文件是 ELF 格式，那么下一步就是使用  readelf 命令和它的各種選項來進一步分析文件。

在使用 readelf 命令時，有一份實際的 ELF 規范的參考是非常有用的。你可以在這里找到該規范。

$ readelf -h /bin/ls ELF Header:   Magic:   7f 45 4c 46 02 01 01 00 00 00 00 00 00 00 00 00   Class:                             ELF64   Data:                              2's complement, little endian   Version:                           1 (current)   OS/ABI:                            UNIX - System V   ABI Version:                       0   Type:                              EXEC (Executable file)   Machine:                           Advanced Micro Devices X86-64   Version:                           0x1   Entry point address:               0x4042d4   Start of program headers:          64 (bytes into file)   Start of section headers:          115696 (bytes into file)   Flags:                             0x0   Size of this header:               64 (bytes)   Size of program headers:           56 (bytes)   Number of program headers:         9   Size of section headers:           64 (bytes)   Number of section headers:         31   Section header string table index: 30 $

objdump

它的作用：從對象文件中顯示信息。

二進制文件是通過你編寫的源碼創建的，這些源碼會通過一個叫做編譯器的工具進行編譯。這個編譯器會生成相對于源代碼的機器語言指令，然后由 CPU  執行特定的任務。這些機器語言代碼可以通過被稱為匯編語言的助記詞來解讀。匯編語言是一組指令，它可以幫助你理解由程序所進行并最終在 CPU 上執行的操作。

objdump 實用程序讀取二進制或可執行文件，并將匯編語言指令轉儲到屏幕上。匯編語言知識對于理解 objdump 命令的輸出至關重要。

請記住：匯編語言是特定于體系結構的。

$ objdump -d /bin/ls | head /bin/ls:     file format elf64-x86-64 Disassembly of section .init: 0000000000402150 <_init@@Base>:   402150:       48 83 ec 08             sub    $0x8,%rsp   402154:       48 8b 05 6d 8e 21 00    mov    0x218e6d(%rip),%rax        # 61afc8 <__gmon_start__>   40215b:       48 85 c0                test   %rax,%rax $

strace

它的作用：跟蹤系統調用和信號。

如果你用過前面提到的 ltrace，那就把 strace 想成是類似的。唯一的區別是，strace  工具不是追蹤調用的庫，而是追蹤系統調用。系統調用是你與內核對接來完成工作的。

舉個例子，如果你想把一些東西打印到屏幕上，你會使用標準庫 libc 中的 printf 或 puts 函數;但是，在底層，最終會有一個名為 write  的系統調用來實際把東西打印到屏幕上。

$ strace -f /bin/ls execve("/bin/ls", ["/bin/ls"], [/* 17 vars */]) = 0 brk(NULL)                               = 0x686000 mmap(NULL, 4096, PROT_READ|PROT_WRITE, MAP_PRIVATE|MAP_ANONYMOUS, -1, 0) = 0x7f967956a000 access("/etc/ld.so.preload", R_OK)      = -1 ENOENT (No such file or directory) open("/etc/ld.so.cache", O_RDONLY|O_CLOEXEC) = 3 fstat(3, {st_mode=S_IFREG|0644, st_size=40661, ...}) = 0 mmap(NULL, 40661, PROT_READ, MAP_PRIVATE, 3, 0) = 0x7f9679560000 close(3)                                = 0 << snip >> fstat(1, {st_mode=S_IFCHR|0620, st_rdev=makedev(136, 1), ...}) = 0 mmap(NULL, 4096, PROT_READ|PROT_WRITE, MAP_PRIVATE|MAP_ANONYMOUS, -1, 0) = 0x7f9679569000 write(1, "R2  RH\n", 7R2  RH )                 = 7 close(1)                                = 0 munmap(0x7f9679569000, 4096)            = 0 close(2)                                = 0 exit_group(0)                           = ? +++ exited with 0 +++ $

nm

它的作用：列出對象文件中的符號。

如果你所使用的二進制文件沒有被剝離，nm 命令將為你提供在編譯過程中嵌入到二進制文件中的有價值的信息。nm  可以幫助你從二進制文件中識別變量和函數。你可以想象一下，如果你無法訪問二進制文件的源代碼時，這將是多么有用。

為了展示 nm，我們快速編寫了一個小程序，用 -g 選項編譯，我們會看到這個二進制文件沒有被剝離。

$ cat hello.c #include <stdio.h> int main() {     printf("Hello world!");     return 0; } $ $ gcc -g hello.c -o hello $ $ file hello hello: ELF 64-bit LSB executable, x86-64, version 1 (SYSV), dynamically linked (uses shared libs), for GNU/Linux 2.6.32, BuildID[sha1]=3de46c8efb98bce4ad525d3328121568ba3d8a5d, not stripped $ $ ./hello Hello world!$ $ $ nm hello | tail 0000000000600e20 d __JCR_END__ 0000000000600e20 d __JCR_LIST__ 00000000004005b0 T __libc_csu_fini 0000000000400540 T __libc_csu_init                  U __libc_start_main@@GLIBC_2.2.5 000000000040051d T main                  U printf@@GLIBC_2.2.5 0000000000400490 t register_tm_clones 0000000000400430 T _start 0000000000601030 D __TMC_END__ $

gdb

它的作用：GNU 調試器。

好吧，不是所有的二進制文件中的東西都可以進行靜態分析。我們確實執行了一些運行二進制文件(進行分析)的命令，比如 ltrace 和  strace;然而，軟件由各種條件組成，這些條件可能會導致執行不同的替代路徑。

分析這些路徑的唯一方法是在運行時環境，在任何給定的位置停止或暫停程序，并能夠分析信息，然后再往下執行。

這就是調試器的作用，在 Linux 上，gdb 就是調試器的事實標準。它可以幫助你加載程序，在特定的地方設置斷點，分析內存和 CPU  的寄存器，以及更多的功能。它是對上面提到的其他工具的補充，可以讓你做更多的運行時分析。

有一點需要注意的是，一旦你使用 gdb 加載一個程序，你會看到它自己的 (gdb) 提示符。所有進一步的命令都將在這個 gdb  命令提示符中運行，直到你退出。

我們將使用我們之前編譯的 hello 程序，使用 gdb 來看看它的工作原理。

$ gdb -q ./hello Reading symbols from /home/flash/hello...done. (gdb) break main Breakpoint 1 at 0x400521: file hello.c, line 4. (gdb) info break Num     Type           Disp Enb Address            What 1       breakpoint     keep y   0x0000000000400521 in main at hello.c:4 (gdb) run Starting program: /home/flash/./hello Breakpoint 1, main () at hello.c:4 4           printf("Hello world!"); Missing separate debuginfos, use: debuginfo-install glibc-2.17-260.el7_6.6.x86_64 (gdb) bt #0  main () at hello.c:4 (gdb) c Continuing. Hello world![Inferior 1 (process 29620) exited normally] (gdb) q $

看完了這篇文章，相信你對“在Linux上如何分析二進制文件”有了一定的了解，如果想了解更多相關知識，歡迎關注億速云行業資訊頻道，感謝各位的閱讀！