广州建设网站公司哪个济南兴田德润有活动吗,互联网设计师,网站开发微盘,北京互联网平台一 背景也许大家都遇到过这种场景,就是有二进制代码,比如深度分析下此文件到底是什么格式的图片等#xff0c;这篇文章就记录我分析下二进制可执行文件的过程#xff0c;已经自己读写二进制文件的一些坑。分析的二进制执行文件为linux下的可执行文件。二 常用二进制文件静态分…一 背景也许大家都遇到过这种场景,就是有二进制代码,比如深度分析下此文件到底是什么格式的图片等这篇文章就记录我分析下二进制可执行文件的过程已经自己读写二进制文件的一些坑。分析的二进制执行文件为linux下的可执行文件。二 常用二进制文件静态分析命令2.1 file基本信息查看linux下有个最常用的通用命令来分析任何文件的基本格式那就是file ,来看下 可以看到基本信息比如是什么类型文件只是概述还有些其他选项可以用-h 查看。2.2 ldd动态链接库信息动态链接库即没有在编译链接的时候直接打入到程序中的而是运行时候动态加载了从而节省内存通过动态连接库我们可以知道这个可执行文件用了哪些动态库方法也比较简单。 这是我写的一个小程序的动态链接库信息通过链接库分析的信息也同样比较少用这个命令多查看依赖链接库找不到的问题。2.3 nm符号查看nm可以列出二进制可执行文件动态库静态库中的符号信息包括符号的类型符号名称比如函数名全局变量等通过这些信息可以看到不少有用的信息通过函数名猜函数功能使用的帮助如下 配合grep信息可以很方便的进行符号搜索 对于一些动态库直接nm可能查不到信息可以通过nm -D命令查看。2.4 strings 查看二进制文件中的字符串strings信息可以打印二进制文件中的字符串信息结合grep进行搜索用grep命令其实可以直接在二进制文件中搜索内容但是不够直观用strings看起来的更直观些 strings 会把任何可打印字符串都显示出来比nm的内容更多截取部分如下 2.5 objdump 将二进制代码转汇编指令objdump是个值得深入学习的指令不光可以还原汇编指令还可以读取二进制中特定段的信息更可怕的是如果我们的程序是以-g -o0等调试不优化的情况下用objdump -S指令可能尽可能地还原源代码信息没看错是还原出源代码信息其实也可以理解这些信息是完整的在可执行文件中的要不然gdb调试的时候没办法单步追踪了测试如下 2.6 readelf 读取ELF文件格式如果二进制文件是ELF格式的通过file文件可以查看文件格式.使用readelf指令可以方便分析ELF文件的结构比如节信息elf头文件信息比如我们在分析文件是否为病毒文件的时候需要读取elf文件头信息做一些特征的判断或作为特征参与机器学习的判断。还有些其他命令有兴趣的小伙伴可以通过-h命令还原看下。三 动态查看文件结构3.1 ltrace 跟踪进程调用库函数过程这也是一个很棒的命令我们可以查看程序执行的时候调用库函数信息还可以在线查看执行的进程的库函数调用情况找几个比较典型的命令测试的代码比较简单如下#include stdlib.h
#include stdio.hint main(void)
{short shs[5] {1,234,567,789,890};int ins[5] {890,88111,23333,7777,6666};FILE * fp fopen(a.bin,wb);for (int i 0; i 5; i) {fwrite(shs[i],sizeof(short),1,fp);fwrite(ins[i],sizeof(int),1,fp);}printf(read....n);fclose(fp);fp fopen(a.bin,rb);short a;int b;for (int i 0; i 5;i) {fread(a,sizeof(short),1,fp);fread(b,sizeof(int),1,fp);printf(i:%d a:%d,b:%dn, i,a,b);}fclose(fp);return 0;
}3.1.1 ltrace 查看库函数调用情况3.1.2 ltrace 查看库函数调用占用时间这在查看系统调用耗时很有用。# -T 是查看调用时间开销
ltrace -T
#-t -tt -ttt 是查看调用绝对时间t越多越精确
ltrace -t
3.1.3 ltrace 查看系统调用信息ltrace -S系统调用信息显然比库函数显示更多追踪更复杂的情况可以使用。还有-p pid 追踪具体的进行id的调用情况也很有用这里面就不举例子了。 如果没有这个命令如果是centos环境可以通过yum install -y ltrace安装。3.2 stracestrace和ltrace的命令差不多strace更偏向于系统调用的追踪或信号产生的情况。安装命令 yum -y install strace 强大地方在于可以指定系统调用的类型-e traceset
只跟踪指定的系统 调用.例如:-e traceopen,close,rean,write表示只跟踪这四个系统调用.默认的为setall.
-e tracefile
只跟踪有关文件操作的系统调用.
-e traceprocess
只跟踪有关进程控制的系统调用.
-e tracenetwork
跟踪与网络有关的所有系统调用.
-e stracesignal
跟踪所有与系统信号有关的 系统调用
-e traceipc
跟踪所有与进程通讯有关的系统调用
-e abbrevset
设定 strace输出的系统调用的结果集.-v 等与 abbrevnone.默认为abbrevall.
-e rawset
将指 定的系统调用的参数以十六进制显示.
-e signalset
指定跟踪的系统信号.默认为all.如 signal!SIGIO(或者signal!io),表示不跟踪SIGIO信号.
-e readset
输出从指定文件中读出 的数据.例如:
-e read3,5
-e writeset
比如以下命令 还有很多有用的选项有兴趣的可以尝试下。3.3 GDB命令gdb命令其实是我们最常用的调试程序的利器用来查看二进制文件的结构非常合适可以把程序运行起来通过gdb -p pid方便地调试。 也可如下运行 基本命令说明下set args 设置参数
b main 设置中断位置为main函数
r 开始运行
l 打印当前的函数内容
p 打印变量值
四 图形化界面分析二进制执行文件网上找到一个图形化界面分析二进制程序的名字叫Relyze 虽然是收费的但是可以正常用一段时间一段时间后才提示界面如下强大之处在于可以显示调用关系信息等。 其实原理都类似没有比命令行更多的功能只是看起来更方便而已。4.1 基本文件信息4.2 头和段信息查看4.3 搜索4.4 调用关系图双击可以看到调用关系图信息便于做进一步分析。 其他的也没啥特殊点了有兴趣的朋友可以下载试试。五 诗词欣赏浣溪沙
[宋] [秦观]漠漠轻寒上小楼晓阴无赖似穷秋淡烟流水画屏幽。
自在飞花轻似梦无边丝雨细如愁宝帘闲挂小银钩。
