在 Linux 中分析二进制文件的 10 种方法

TIAP 2022-07-18

1644

“世界上有10种人：懂二进制的和不懂二进制的。”

我们每天都在处理二进制文件，但很多人对其了解的还不够多。这里说的二进制文件，是指可执行文件，包括通过命令行执行的，或者其他应用程序。

Linux 提供了很多工具，可以分析二进制文件。无论你的具体工作是什么，只要你在Linux系统上工作，了解这些工具会让你更好的理解Linux系统。

本文将会介绍一些关于解析二进制文件的比较流行的工具和命令，其中大多数是默认在系统中安装了的，还有一部分需要手动安装。

file

功能：帮助确定文件类型。

这个应该作为你分析二进制文件的起点。我们每天都会处理很多文件，并非所有的文件都是可执行的。文件有很多种，在开始分析之前，你需要首先确定文件的类型。它们是二进制文件，库文件，文本文件，视频文件，图片，PDF，还是数据库文件？

file 命令会帮助你确定要处理文件的文件类型。

$ file bin/ls
/bin/ls: ELF 64-bit LSB executable, x86-64, version 1 (SYSV), dynamically linked (uses shared libs), for GNU/Linux 2.6.32, BuildID[sha1]=94943a89d17e9d373b2794dcb1f7e38c95b66c86, stripped
$
$ file etc/passwd
/etc/passwd: ASCII text
$

ldd

功能：显示共享对象的依赖关系。

如果你在一个可执行的二进制文件上使用了 file 命令，那么应该会从输出内容中看到有“dynamically linked（动态链接）”的相关信息，这是什么意思呢？

在开发软件的时候，如果遇到一些常用功能且已经有现有工具的话，会使用现有的工具，就是“我们不会重新发明轮子”。大多数软件都会有一些常见的任务，比如打印输出，或者从标准输入读取、打开文件等等。这些常见的任务通常会被抽象为一组函数，所有人都能使用这些函数。这些函数通常会放在名为 libc 或 glibc 的库中。

如何知道可执行文件依赖于哪些库呢？使用 ldd 命令可以做到这一点，它可以显示二进制文件所有的依赖库及其路径。

$ ldd bin/ls
        linux-vdso.so.1 =>  (0x00007ffef5ba1000)
        libselinux.so.1 => lib64/libselinux.so.1 (0x00007fea9f854000)
        libcap.so.2 => lib64/libcap.so.2 (0x00007fea9f64f000)
        libacl.so.1 => lib64/libacl.so.1 (0x00007fea9f446000)
        libc.so.6 => lib64/libc.so.6 (0x00007fea9f079000)
        libpcre.so.1 => lib64/libpcre.so.1 (0x00007fea9ee17000)
        libdl.so.2 => /lib64/libdl.so.2 (0x00007fea9ec13000)
        /lib64/ld-linux-x86-64.so.2 (0x00007fea9fa7b000)
        libattr.so.1 => /lib64/libattr.so.1 (0x00007fea9ea0e000)
        libpthread.so.0 => /lib64/libpthread.so.0 (0x00007fea9e7f2000)
$

ltrace

功能：库调用跟踪器。

我们现在知道了如何使用 ldd 命令查找可执行程序依赖的库。然而，一个库可能会包含数百个函数。在这数百个函数中，我们的二进制代码使用的实际函数是哪个呢？

ltrace 命令显示在运行时从库中调用的所有函数。在下面的示例中，我们可以看到正在调用的函数名，以及传递给该函数的参数，还可以在输出的最右侧看到这些函数返回的内容。

$ ltrace ls
__libc_start_main(0x4028c0, 1, 0x7ffd94023b88, 0x412950 <unfinished ...>
strrchr("ls", '/')                                                                  = nil
setlocale(LC_ALL, "")                                                               = "en_US.UTF-8"
bindtextdomain("coreutils", "/usr/share/locale")                                    = "/usr/share/locale"
textdomain("coreutils")                                                             = "coreutils"
__cxa_atexit(0x40a930, 0, 0, 0x736c6974756572)                                      = 0
isatty(1)                                                                           = 1
getenv("QUOTING_STYLE")                                                             = nil
getenv("COLUMNS")                                                                   = nil
ioctl(1, 21523, 0x7ffd94023a50)                                                     = 0
<< snip >>
fflush(0x7ff7baae61c0)                                                              = 0
fclose(0x7ff7baae61c0)                                                              = 0
+++ exited (status 0) +++
$

Hexdump

功能：以ASCII、十进制、十六进制或八进制显示文件内容。

通常，当你打开一个未知文件的时候，系统可能不知道如何处理该文件。如果尝试使用vim打开可执行文件或视频文件，我们通常会看到一堆乱码。

使用 hexdump 命令打开未知文件可以帮助我们查看文件到底包含什么。此外还可以选择使用一些命令行选项查看文件中数据的ASCII表示，这会帮助我们了解它是什么类型的文件。

$ hexdump -C /bin/ls | head
00000000  7f 45 4c 46 02 01 01 00  00 00 00 00 00 00 00 00  |.ELF............|
00000010  02 00 3e 00 01 00 00 00  d4 42 40 00 00 00 00 00  |..>......B@.....|
00000020  40 00 00 00 00 00 00 00  f0 c3 01 00 00 00 00 00  |@...............|
00000030  00 00 00 00 40 00 38 00  09 00 40 00 1f 00 1e 00  |....@.8...@.....|
00000040  06 00 00 00 05 00 00 00  40 00 00 00 00 00 00 00  |........@.......|
00000050  40 00 40 00 00 00 00 00  40 00 40 00 00 00 00 00  |@.@.....@.@.....|
00000060  f8 01 00 00 00 00 00 00  f8 01 00 00 00 00 00 00  |................|
00000070  08 00 00 00 00 00 00 00  03 00 00 00 04 00 00 00  |................|
00000080  38 02 00 00 00 00 00 00  38 02 40 00 00 00 00 00  |8.......8.@.....|
00000090  38 02 40 00 00 00 00 00  1c 00 00 00 00 00 00 00  |8.@.............|
$

strings

功能：输出文件中可打印的字符串。

如果你想在二进制文件中查找一些可打印的字符，那么可以使用 strings 命令。

在开发软件时，会向其中添加一些文本信息，比如打印消息，调试信息，帮助信息，错误信息等等。如果这些信息都以二进制形式存在，那么使用 strings 命令可以将其输出到屏幕中。

$ strings /bin/ls

readelf

功能：显示ELF文件的信息。

ELF（可执行和可链接文件格式）是可执行文件或二进制文件的主要文件格式，不仅在Linux上，在各种UNIX系统上也是如此。如果您使用了诸如file命令之类的工具，该命令告诉你文件是ELF格式的，那么下一个逻辑步骤将是使用readelf 命令及其各种选项来进一步分析文件。

使用 readelf 命令的时候，可参考 ELF 规范，地址：

http://www.skyfree.org/linux/references/ELF_Format.pdf

$ readelf -h /bin/ls
ELF Header:
  Magic:   7f 45 4c 46 02 01 01 00 00 00 00 00 00 00 00 00
  Class:                             ELF64
  Data:                              2's complement, little endian
  Version:                           1 (current)
  OS/ABI:                            UNIX - System V
  ABI Version:                       0
  Type:                              EXEC (Executable file)
  Machine:                           Advanced Micro Devices X86-64
  Version:                           0x1
  Entry point address:               0x4042d4
  Start of program headers:          64 (bytes into file)
  Start of section headers:          115696 (bytes into file)
  Flags:                             0x0
  Size of this header:               64 (bytes)
  Size of program headers:           56 (bytes)
  Number of program headers:         9
  Size of section headers:           64 (bytes)
  Number of section headers:         31
  Section header string table index: 30
$

objdump

功能：显示对象文件中的信息。

二进制文件是你在编写完源代码后，由编译器将源代码编译后形成的。该编译器会将源代码编译为机器代码，然后由CPU执行给定任务。这种机器代码可以通过汇编语言来解释。汇编语言是一组指令，可以帮助我们理解程序是如何执行的。

objdump 命令可以读取二进制或可执行文件，并将汇编语言指令输出到屏幕上。汇编知识对于理解 objdump 命令的输出很重要。

$ objdump -d /bin/ls | head


/bin/ls:     file format elf64-x86-64


Disassembly of section .init:


0000000000402150 <_init@@Base>:
  402150:       48 83 ec 08             sub    $0x8,%rsp
  402154:       48 8b 05 6d 8e 21 00    mov    0x218e6d(%rip),%rax        # 61afc8 <__gmon_start__>
  40215b:       48 85 c0                test   %rax,%rax
$

strace

功能：跟踪系统调用和信号。

strace 跟前面介绍的 ltrace 类似，区别是，strace 跟踪系统调用，而不是库调用。系统调用是你与内核交互以完成工作的方式。

举个例子，如果你想在屏幕上打印一些东西，你将使用标准库 libc 中的 printf 或 put 函数；然而，在后台，系统最终会调用一个名为 write 的函数将这些内容打印到屏幕上。

$ strace -f /bin/ls
execve("/bin/ls", ["/bin/ls"], [/* 17 vars */]) = 0
brk(NULL)                               = 0x686000
mmap(NULL, 4096, PROT_READ|PROT_WRITE, MAP_PRIVATE|MAP_ANONYMOUS, -1, 0) = 0x7f967956a000
access("/etc/ld.so.preload", R_OK)      = -1 ENOENT (No such file or directory)
open("/etc/ld.so.cache", O_RDONLY|O_CLOEXEC) = 3
fstat(3, {st_mode=S_IFREG|0644, st_size=40661, ...}) = 0
mmap(NULL, 40661, PROT_READ, MAP_PRIVATE, 3, 0) = 0x7f9679560000
close(3)                                = 0
<< snip >>
fstat(1, {st_mode=S_IFCHR|0620, st_rdev=makedev(136, 1), ...}) = 0
mmap(NULL, 4096, PROT_READ|PROT_WRITE, MAP_PRIVATE|MAP_ANONYMOUS, -1, 0) = 0x7f9679569000
write(1, "R2  RH\n", 7R2  RH
)                 = 7
close(1)                                = 0
munmap(0x7f9679569000, 4096)            = 0
close(2)                                = 0
exit_group(0)                           = ?
+++ exited with 0 +++
$

功能：列出对象文件中的符号。

如果你使用的是未剥离的二进制文件，nm命令将为你提供编译期间嵌入二进制文件中的有价值信息。nm 可以帮助我们从二进制文件中识别变量和函数，如果我们无法访问待分析的二进制文件的源代码，使用 nm 命令将会非常有用。

为了展示 nm 的功能，我们将编写一个小程序并使用 -g 选项编译它，我们还将看到，使用 file 命令不会剥离二进制文件。

$ cat hello.c
#include <stdio.h>
int main() {
    printf("Hello world!");
    return 0;
}
$
$ gcc -g hello.c -o hello
$
$ file hello
hello: ELF 64-bit LSB executable, x86-64, version 1 (SYSV), dynamically linked (uses shared libs), for GNU/Linux 2.6.32, BuildID[sha1]=3de46c8efb98bce4ad525d3328121568ba3d8a5d, not stripped
$
$ ./hello
Hello world!$
$




$ nm hello | tail
0000000000600e20 d __JCR_END__
0000000000600e20 d __JCR_LIST__
00000000004005b0 T __libc_csu_fini
0000000000400540 T __libc_csu_init
                 U __libc_start_main@@GLIBC_2.2.5
000000000040051d T main
                 U printf@@GLIBC_2.2.5
0000000000400490 t register_tm_clones
0000000000400430 T _start
0000000000601030 D __TMC_END__
$

gdb

功能：GNU调试器。

并不是所有的二进制文件都可以静态分析。我们确实执行了一些解析二进制文件的命令，比如 ltrace 和 strace，但是，软件的体系结构是多种多样的，我们不可能通过一种方法解析所有文件。

对于不好解析的文件，唯一的方法就是在运行时，能够在某些位置暂停程序，并能够分析信息，然后进行下一步执行。

这就是调试器该起作用的地方。在Linux中，gdb 实际上是调试器。它可以帮助我们加载程序，在特定位置设置断点，分析内存和CPU寄存器，或者做更多的事情。它补充了上述其他工具，并允许我们进行更多的运行时分析。

需要注意的一点是，一旦你使用 gdb 加载程序，你将会看到 gdb 输出的信息提示，所有后续命令都会在 gdb 命令提示符下运行，直到你退出。

我们将使用之前编译的“hello”程序，并使用 gdb 查看其工作原理。

$ gdb -q ./hello
Reading symbols from /home/flash/hello...done.
(gdb) break main
Breakpoint 1 at 0x400521: file hello.c, line 4.
(gdb) info break
Num     Type           Disp Enb Address            What
1       breakpoint     keep y   0x0000000000400521 in main at hello.c:4
(gdb) run
Starting program: /home/flash/./hello


Breakpoint 1, main () at hello.c:4
4           printf("Hello world!");
Missing separate debuginfos, use: debuginfo-install glibc-2.17-260.el7_6.6.x86_64
(gdb) bt
#0  main () at hello.c:4
(gdb) c
Continuing.
Hello world![Inferior 1 (process 29620) exited normally]
(gdb) q
$

以上就是本次分享全部内容，欢迎讨论。

gdb 二进制 linux系统功能分析

文章转载自TIAP，如果涉嫌侵权，请发送邮件至：contact@modb.pro进行举报，并提供相关证据，一经查实，墨天轮将立刻删除相关内容。

在 Linux 中分析二进制文件的 10 种方法

评论