10种在Linux上分析二进制文件的方法

开源视界 2020-08-19

774

这些简单的命令和工具可以帮助您轻松完成分析二进制文件的任务。

"There are 10 types of people in this world: those who understand binary and those who don't."

我们每天都要用到二进制文件，但是却对它们知之甚少。这里说的二进制文件是指每天运行的那些可执行文件，涵盖从命令行工具到成熟的应用程序。

Linux提供了一组丰富的工具，可以帮助您轻松地分析二进制文件! 如果您正在Linux上工作，无论您的工作内容是什么，了解这些工具的基础知识将帮助您更好地理解您的操作系统。

在本文中，我们将介绍一些流行的Linux工具和命令，其中大部分都作为Linux发行版的一部分而被默认提供。如果不是，您可以使用包管理器来安装和使用它们。请记住: 学习在适当的场合使用适当的工具需要大量的耐心和实践。

用处: 帮助确定文件类型。

这将是您进行二进制文件分析的起点。我们每天都要与文件打交道。并不是所有文件都是可执行类型, 实际上Linux上有着各种各样的文件类型。在开始进行分析之前，您需要了解需要分析的文件的类型。它可能是一个二进制文件、一个库文件、一个ASCII文本文件、一个视频文件、一个图片文件、一个PDF文件、一个数据文件等等。

file命令将帮助您确定正在处理的文件的确切类型。

$ file bin/ls
/bin/ls: ELF 64-bit LSB executable, x86-64, version 1 (SYSV), dynamically linked (uses shared libs), for GNU/Linux 2.6.32, BuildID[sha1]=94943a89d17e9d373b2794dcb1f7e38c95b66c86, stripped
$
$ file etc/passwd
/etc/passwd: ASCII text
$

用处: 输出共享目标文件的依赖项。

如果您已经在可执行二进制文件上使用了上面的file命令，那么您就不会错过输出内容中的“动态链接”消息。这是什么意思?

在开发软件时，我们尽量不去重新发明轮子。许多常见的任务是大多数软件程序都共同需要的，比如打印输出或从标准输入中读取内容，或打开文件，等等。所有这些常见的任务都被抽象到一组常见的函数中，每个人都可以使用这些函数，而不是自己单独去编写实现。这些公共函数被放在一个名为libc或glibc的库中。

那么如何找到可执行文件所依赖的库? 当然是使用ldd命令了！在动态链接的二进制文件上运行它，将显示该二进制文件的所有依赖库以及相应的路径。

$ ldd bin/ls
        linux-vdso.so.1 =>  (0x00007ffef5ba1000)
        libselinux.so.1 => lib64/libselinux.so.1 (0x00007fea9f854000)
        libcap.so.2 => lib64/libcap.so.2 (0x00007fea9f64f000)
        libacl.so.1 => lib64/libacl.so.1 (0x00007fea9f446000)
        libc.so.6 => lib64/libc.so.6 (0x00007fea9f079000)
        libpcre.so.1 => lib64/libpcre.so.1 (0x00007fea9ee17000)
        libdl.so.2 => lib64/libdl.so.2 (0x00007fea9ec13000)
        lib64/ld-linux-x86-64.so.2 (0x00007fea9fa7b000)
        libattr.so.1 => lib64/libattr.so.1 (0x00007fea9ea0e000)
        libpthread.so.0 => lib64/libpthread.so.0 (0x00007fea9e7f2000)
$

用处: 跟踪库的调用关系。

我们现在知道了如何使用ldd查找可执行程序依赖的库。然而，一个库可以包含数百个函数。在这几百个函数中，二进制程序实际使用到的函数是什么?

ltrace命令能够显示在运行时从库中调用的所有函数。在下面的示例中，您可以看到正在调用的函数名，以及传递给该函数的参数。您还可以在输出的最右侧看到这些函数返回的内容。

$ ltrace ls
__libc_start_main(0x4028c0, 1, 0x7ffd94023b88, 0x412950 <unfinished ...>
strrchr("ls", '/')                                                                  = nil
setlocale(LC_ALL, "")                                                           = "en_US.UTF-8"
bindtextdomain("coreutils", "/usr/share/locale")                                    = "/usr/share/locale"
textdomain("coreutils")                                                             = "coreutils"
__cxa_atexit(0x40a930, 0, 0, 0x736c6974756572)                                      = 0
isatty(1)                                                                           = 1
getenv("QUOTING_STYLE")                                                             = nil
getenv("COLUMNS")                                                                   = nil
ioctl(1, 21523, 0x7ffd94023a50)                                                     = 0
<< snip >>
fflush(0x7ff7baae61c0)                                                              = 0
fclose(0x7ff7baae61c0)                                                              = 0
+++ exited (status 0) +++
$

用处: 以ASCII、十进制、十六进制或八进制显示文件内容。

通常情况下，当您打开一个文件时，应用程序并不知道该如何处理该文件。尝试使用vim打开可执行文件或视频文件，你所能看到的只是一些乱七八糟的东西出现在屏幕上。

在Hexdump中打开未知文件可以帮助您查看文件的确切内容。您还可以选择使用一些命令行选项来查看文件中数据的ASCII表示形式。这可能会帮助您了解它是什么类型的文件。

$ hexdump -C bin/ls | head
00000000  7f 45 4c 46 02 01 01 00  00 00 00 00 00 00 00 00  |.ELF............|
00000010  02 00 3e 00 01 00 00 00  d4 42 40 00 00 00 00 00  |..>......B@.....|
00000020  40 00 00 00 00 00 00 00  f0 c3 01 00 00 00 00 00  |@...............|
00000030  00 00 00 00 40 00 38 00  09 00 40 00 1f 00 1e 00  |....@.8...@.....|
00000040  06 00 00 00 05 00 00 00  40 00 00 00 00 00 00 00  |........@.......|
00000050  40 00 40 00 00 00 00 00  40 00 40 00 00 00 00 00  |@.@.....@.@.....|
00000060  f8 01 00 00 00 00 00 00  f8 01 00 00 00 00 00 00  |................|
00000070  08 00 00 00 00 00 00 00  03 00 00 00 04 00 00 00  |................|
00000080  38 02 00 00 00 00 00 00  38 02 40 00 00 00 00 00  |8.......8.@.....|
00000090  38 02 40 00 00 00 00 00  1c 00 00 00 00 00 00 00  |8.@.............|
$

用处: 输出文件中可打印字符的字符串。

如果Hexdump对于您的需求来说过于强大，而您只是想要在二进制文件中寻找可打印的字符，那么您可以使用strings命令。

在开发软件时，会向其中添加各种文本/ASCII消息，比如输出调试信息、帮助消息、错误等等。如果所有这些信息都存在于二进制文件中，那么你可以使用strings将它们输出到到屏幕上。

$ strings bin/ls

用处: 显示ELF文件的信息。

ELF (Executable and Linkable File)是Linux以及各种UNIX系统上可执行文件或二进制文件的主要文件格式。如果您已经使用了file命令这样的工具，它会告诉您该文件是否是ELF格式的，那么接下来的工作将是使用readelf命令来进一步分析该LEF文件。

在使用readelf时，手边有一个ELF规范参考将非常有用。您可以在skyfree.org的Linux板块下找到规范一个不错的规范。

$ readelf -h bin/ls
ELF Header:
Magic: 7f 45 4c 46 02 01 01 00 00 00 00 00 00 00 00 00
Class: ELF64
Data: 2's complement, little endian
Version: 1 (current)
OS/ABI: UNIX - System V
ABI Version: 0
Type: EXEC (Executable file)
Machine: Advanced Micro Devices X86-64
Version: 0x1
Entry point address: 0x4042d4
Start of program headers: 64 (bytes into file)
Start of section headers: 115696 (bytes into file)
Flags: 0x0
Size of this header: 64 (bytes)
Size of program headers: 56 (bytes)
Number of program headers: 9
Size of section headers: 64 (bytes)
Number of section headers: 31
Section header string table index: 30
$

用处: 显示目标文件中的信息。

二进制代码是在编写源代码后使用编译器进行编译时创建的。这个编译器能够生成源代码所描述的机器语言指令，然后CPU可以执行这些指令来完成给定的任务。这种机器语言可以通过称为汇编语言的助记符来解释。汇编语言是一组指令，帮助您理解程序正在处理并最终在CPU上执行的操作。

objdump工具能够读取二进制或可执行文件，并将汇编语言指令输出到屏幕上。拥有汇编语言的知识对于理解objdump命令的输出至关重要。

请记住: 汇编语言是特定于计算机体系架构的。

$ objdump -d bin/ls | head

/bin/ls: file format elf64-x86-64

Disassembly of section .init:

0000000000402150 <_init@@Base>:
402150: 48 83 ec 08 sub $0x8,%rsp
402154: 48 8b 05 6d 8e 21 00 mov 0x218e6d(%rip),%rax # 61afc8 <__gmon_start__>
40215b: 48 85 c0 test %rax,%rax
$

用处: 跟踪系统调用和信号。

如果您使用过前面提到的ltrace，那么你可以很容易地理解strace。它们唯一的区别是，strace工具跟踪系统调用，而不是库的调用。系统调用是您与内核进行交互以完成工作的一种方式。

举个例子，如果你想打印一些东西到屏幕上，你可以使用标准库libc中的printf或者puts函数。然而，最终strace会将一个名为write的系统调用将被实际输出到屏幕上。

$ strace -f bin/ls
execve("/bin/ls", ["/bin/ls"], [/* 17 vars */]) = 0
brk(NULL)                               = 0x686000
mmap(NULL, 4096, PROT_READ|PROT_WRITE, MAP_PRIVATE|MAP_ANONYMOUS, -1, 0) = 0x7f967956a000
access("/etc/ld.so.preload", R_OK)      = -1 ENOENT (No such file or directory)
open("/etc/ld.so.cache", O_RDONLY|O_CLOEXEC) = 3
fstat(3, {st_mode=S_IFREG|0644, st_size=40661, ...}) = 0
mmap(NULL, 40661, PROT_READ, MAP_PRIVATE, 3, 0) = 0x7f9679560000
close(3)                                = 0
<< snip >>
fstat(1, {st_mode=S_IFCHR|0620, st_rdev=makedev(136, 1), ...}) = 0
mmap(NULL, 4096, PROT_READ|PROT_WRITE, MAP_PRIVATE|MAP_ANONYMOUS, -1, 0) = 0x7f9679569000
write(1, "R2  RH\n", 7R2  RH
)                 = 7
close(1)                                = 0
munmap(0x7f9679569000, 4096)            = 0
close(2)                                = 0
exit_group(0)                           = ?
+++ exited with 0 +++
$

用处: 列出目标文件中的符号。

如果您使用的二进制文件没有被删除，那么nm命令将为您提供编译过程中嵌入到二进制文件中的有价值的信息。nm可以帮助您从二进制文件中识别变量和函数。您可以想象，如果您无法访问正在分析的二进制文件的源代码，那么这将是多么有用。

为了展示nm，我们将快速编写一个小程序，并使用-g选项编译它，我们还将看到使用file命令不会删除二进制文件。

$ cat hello.c
#include <stdio.h>

int main() {
    printf("Hello world!");
    return 0;
}

$
$ gcc -g hello.c -o hello
$
$ file hello
hello: ELF 64-bit LSB executable, x86-64, version 1 (SYSV), dynamically linked (uses shared libs), for GNU/Linux 2.6.32, BuildID[sha1]=3de46c8efb98bce4ad525d3328121568ba3d8a5d, not stripped
$
$ ./hello
Hello world!$
$

$ nm hello | tail
0000000000600e20 d __JCR_END__
0000000000600e20 d __JCR_LIST__
00000000004005b0 T __libc_csu_fini
0000000000400540 T __libc_csu_init
                 U __libc_start_main@@GLIBC_2.2.5
000000000040051d T main
                 U printf@@GLIBC_2.2.5
0000000000400490 t register_tm_clones
0000000000400430 T _start
0000000000601030 D __TMC_END__
$

用处: GNU调试器。

并不是二进制中的所有东西都能被静态分析。我们确实执行了一些运行二进制文件的命令，比如ltrace和strace;然而，软件包含各种条件，这些条件可能导致程序有各种不同的执行路径。

分析这些路径的惟一方法是在运行时能够在任何给定位置停止或暂停程序，并能够分析信息，然后进一步向下移动。这就是调试器发挥作用的地方，在Linux上，gdb是常用的调试器。它可以帮助您加载程序，在特定的位置设置断点，分析内存和CPU寄存器，以及做更多的事情。它弥补了上面提到的其他工具存在的一些不足，并允许您进行更多的运行时分析。

需要注意的一点是，一旦您使用gdb加载一个程序，您将看到它自己的(gdb)提示符。所有后续的命令都将在这个gdb命令提示符中运行，直到您退出为止。

我们将继续利用前面编译的“hello”程序，并使用gdb来查看它是如何工作的。

$ gdb -q ./hello
Reading symbols from home/flash/hello...done.
(gdb) break main
Breakpoint 1 at 0x400521: file hello.c, line 4.
(gdb) info break
Num     Type           Disp Enb Address            What
1       breakpoint     keep y   0x0000000000400521 in main at hello.c:4
(gdb) run
Starting program: /home/flash/./hello

Breakpoint 1, main () at hello.c:4
4           printf("Hello world!");
Missing separate debuginfos, use: debuginfo-install glibc-2.17-260.el7_6.6.x86_64
(gdb) bt
#0  main () at hello.c:4
(gdb) c
Continuing.
Hello world![Inferior 1 (process 29620) exited normally]
(gdb) q
$