這些簡單的命令和工具可以幫助你輕鬆完成分析二進位制檔案的任務。
“這個世界上有 10 種人：懂二進位制的人和不懂二進位制的人。”
我們每天都在與二進位制檔案打交道，但我們對二進位制檔案卻知之甚少。我所說的二進位制，是指你每天執行的可執行檔案，從命令列工具到成熟的應用程式都是。
Linux 提供了一套豐富的工具，讓分析二進位制檔案變得輕而易舉。無論你的工作角色是什麼，如果你在 Linux 上工作，了解這些工具的基本知識將幫助你更好地理解你的系統。
在這篇文章中，我們將介紹其中一些最流行的 Linux 工具和命令，其中大部分都是 Linux 發行版的一部分。如果沒有找到，你可以隨時使用你的軟體包管理器來安裝和探索它們。請記住：學習在正確的場合使用正確的工具需要大量的耐心和練習。
它的作用：幫助確定檔案型別。
這將是你進行二進位制分析的起點。我們每天都在與檔案打交道，並非所有的檔案都是可執行型別，除此之外還有各種各樣的檔案型別。在你開始之前，你需要了解要分析的檔案型別。是二進位制檔案、庫檔案、ASCII 文字檔案、視訊檔、圖片檔案、PDF、資料檔案等檔案嗎？
file 命令將幫助你確定你所處理的檔案型別。
$ file /bin/ls/bin/ls: ELF 64-bit LSB executable, x86-64, version 1 (SYSV), dynamically linked (uses shared libs), for GNU/Linux 2.6.32, BuildID[sha1]=94943a89d17e9d373b2794dcb1f7e38c95b66c86, stripped$$ file /etc/passwd/etc/passwd: ASCII text$它的作用：列印共用物件依賴關係。
如果你已經在一個可執行的二進位制檔案上使用了上面的 file 命令，你肯定會看到輸出中的“動態連結”資訊。它是什麼意思呢？
在開發軟體的時候，我們盡量不要重造輪子。有一組常見的任務是大多數軟體程式需要的，比如列印輸出或從標準輸入/開啟的檔案中讀取等。所有這些常見的任務都被抽象成一組通用的函數，然後每個人都可以使用，而不是寫出自己的變體。這些常用的函數被放在一個叫 libc 或 glibc 的庫中。
如何找到可執行程式所依賴的庫？這就是 ldd 命令的作用了。對動態連結的二進位制檔案執行該命令會顯示出所有依賴庫和它們的路徑。
$ ldd /bin/ls linux-vdso.so.1 => (0x00007ffef5ba1000) libselinux.so.1 => /lib64/libselinux.so.1 (0x00007fea9f854000) libcap.so.2 => /lib64/libcap.so.2 (0x00007fea9f64f000) libacl.so.1 => /lib64/libacl.so.1 (0x00007fea9f446000) libc.so.6 => /lib64/libc.so.6 (0x00007fea9f079000) libpcre.so.1 => /lib64/libpcre.so.1 (0x00007fea9ee17000) libdl.so.2 => /lib64/libdl.so.2 (0x00007fea9ec13000) /lib64/ld-linux-x86-64.so.2 (0x00007fea9fa7b000) libattr.so.1 => /lib64/libattr.so.1 (0x00007fea9ea0e000) libpthread.so.0 => /lib64/libpthread.so.0 (0x00007fea9e7f2000)$它的作用：庫呼叫跟蹤器。
我們現在知道如何使用 ldd 命令找到一個可執行程式所依賴的庫。然而，一個庫可以包含數百個函數。在這幾百個函數中，哪些是我們的二進位制程式正在使用的實際函數？
ltrace 命令可以顯示執行時從庫中呼叫的所有函數。在下面的例子中，你可以看到被呼叫的函數名稱，以及傳遞給該函數的引數。你也可以在輸出的最右邊看到這些函數返回的內容。
$ ltrace ls__libc_start_main(0x4028c0, 1, 0x7ffd94023b88, 0x412950 <unfinished ...>strrchr("ls", '/') = nilsetlocale(LC_ALL, "") = "en_US.UTF-8"bindtextdomain("coreutils", "/usr/share/locale") = "/usr/share/locale"textdomain("coreutils") = "coreutils"__cxa_atexit(0x40a930, 0, 0, 0x736c6974756572) = 0isatty(1) = 1getenv("QUOTING_STYLE") = nilgetenv("COLUMNS") = nilioctl(1, 21523, 0x7ffd94023a50) = 0<< snip >>fflush(0x7ff7baae61c0) = 0fclose(0x7ff7baae61c0) = 0+++ exited (status 0) +++$它的作用：以 ASCII、十進位制、十六進位制或八進位制顯示檔案內容。
通常情況下，當你用一個應用程式開啟一個檔案，而它不知道如何處理該檔案時，就會出現這種情況。嘗試用 vim 開啟一個可執行檔案或視訊檔，你螢幕上會看到的只是丟擲的亂碼。
在 hexdump 中開啟未知檔案，可以幫助你看到檔案的具體內容。你也可以選擇使用一些命令列選項來檢視用 ASCII 表示的檔案資料。這可能會幫助你了解到它是什麼型別的檔案。
$ hexdump -C /bin/ls | head00000000 7f 45 4c 46 02 01 01 00 00 00 00 00 00 00 00 00 |.ELF............|00000010 02 00 3e 00 01 00 00 00 d4 42 40 00 00 00 00 00 |..>......B@.....|00000020 40 00 00 00 00 00 00 00 f0 c3 01 00 00 00 00 00 |@...............|00000030 00 00 00 00 40 00 38 00 09 00 40 00 1f 00 1e 00 |[email protected]...@.....|00000040 06 00 00 00 05 00 00 00 40 00 00 00 00 00 00 00 |........@.......|00000050 40 00 40 00 00 00 00 00 40 00 40 00 00 00 00 00 |@.@.....@.@.....|00000060 f8 01 00 00 00 00 00 00 f8 01 00 00 00 00 00 00 |................|00000070 08 00 00 00 00 00 00 00 03 00 00 00 04 00 00 00 |................|00000080 38 02 00 00 00 00 00 00 38 02 40 00 00 00 00 00 |8.......8.@.....|00000090 38 02 40 00 00 00 00 00 1c 00 00 00 00 00 00 00 |8.@.............|$它的作用：列印檔案中的可列印字元的字串。
如果你只是在二進位制中尋找可列印的字元，那麼 hexdump 對於你的使用場景來說似乎有點矯枉過正，你可以使用 strings 命令。
在開發軟體的時候，各種文字/ASCII 資訊會被新增到其中，比如列印資訊、偵錯資訊、幫助資訊、錯誤等。只要這些資訊都存在於二進位制檔案中，就可以用 strings 命令將其轉儲到螢幕上。
$ strings /bin/ls它的作用：顯示有關 ELF 檔案的資訊。
ELF（可執行和可連結檔案格式）是可執行檔案或二進位制檔案的主流格式，不僅是 Linux 系統，也是各種 UNIX 系統的主流檔案格式。如果你已經使用了像 file 命令這樣的工具，它告訴你檔案是 ELF 格式，那麼下一步就是使用 readelf 命令和它的各種選項來進一步分析檔案。
在使用 readelf 命令時，有一份實際的 ELF 規範的參考是非常有用的。你可以在這裡找到該規範。
$ readelf -h /bin/lsELF Header: Magic: 7f 45 4c 46 02 01 01 00 00 00 00 00 00 00 00 00 Class: ELF64 Data: 2's complement, little endian Version: 1 (current) OS/ABI: UNIX - System V ABI Version: 0 Type: EXEC (Executable file) Machine: Advanced Micro Devices X86-64 Version: 0x1 Entry point address: 0x4042d4 Start of program headers: 64 (bytes into file) Start of section headers: 115696 (bytes into file) Flags: 0x0 Size of this header: 64 (bytes) Size of program headers: 56 (bytes) Number of program headers: 9 Size of section headers: 64 (bytes) Number of section headers: 31 Section header string table index: 30$它的作用：從物件檔案中顯示資訊。
二進位制檔案是通過你編寫的原始碼建立的，這些原始碼會通過一個叫做編譯器的工具進行編譯。這個編譯器會生成相對於原始碼的機器語言指令，然後由 CPU 執行特定的任務。這些機器語言程式碼可以通過被稱為組合語言的助記詞來解讀。組合語言是一組指令，它可以幫助你理解由程式所進行並最終在 CPU 上執行的操作。
objdump 實用程式讀取二進位制或可執行檔案，並將組合語言指令轉儲到螢幕上。組合語言知識對於理解 objdump 命令的輸出至關重要。
請記住：組合語言是特定於體系結構的。
$ objdump -d /bin/ls | head/bin/ls: file format elf64-x86-64Disassembly of section .init:0000000000402150 <_init@@Base>: 402150: 48 83 ec 08 sub $0x8,%rsp 402154: 48 8b 05 6d 8e 21 00 mov 0x218e6d(%rip),%rax # 61afc8 <__gmon_start__> 40215b: 48 85 c0 test %rax,%rax$它的作用：跟蹤系統呼叫和信號。
如果你用過前面提到的 ltrace，那就把 strace 想成是類似的。唯一的區別是，strace 工具不是追蹤呼叫的庫，而是追蹤系統呼叫。系統呼叫是你與核心對接來完成工作的。
舉個例子，如果你想把一些東西列印到螢幕上，你會使用標準庫 libc 中的 printf 或 puts 函數；但是，在底層，最終會有一個名為 write 的系統呼叫來實際把東西列印到螢幕上。
$ strace -f /bin/lsexecve("/bin/ls", ["/bin/ls"], [/* 17 vars */]) = 0brk(NULL) = 0x686000mmap(NULL, 4096, PROT_READ|PROT_WRITE, MAP_PRIVATE|MAP_ANONYMOUS, -1, 0) = 0x7f967956a000access("/etc/ld.so.preload", R_OK) = -1 ENOENT (No such file or directory)open("/etc/ld.so.cache", O_RDONLY|O_CLOEXEC) = 3fstat(3, {st_mode=S_IFREG|0644, st_size=40661, ...}) = 0mmap(NULL, 40661, PROT_READ, MAP_PRIVATE, 3, 0) = 0x7f9679560000close(3) = 0<< snip >>fstat(1, {st_mode=S_IFCHR|0620, st_rdev=makedev(136, 1), ...}) = 0mmap(NULL, 4096, PROT_READ|PROT_WRITE, MAP_PRIVATE|MAP_ANONYMOUS, -1, 0) = 0x7f9679569000write(1, "R2 RH\n", 7R2 RH) = 7close(1) = 0munmap(0x7f9679569000, 4096) = 0close(2) = 0exit_group(0) = ?+++ exited with 0 +++$它的作用：列出物件檔案中的符號。
如果你所使用的二進位制檔案沒有被剝離，nm 命令將為你提供在編譯過程中嵌入到二進位制檔案中的有價值的資訊。nm 可以幫助你從二進位制檔案中識別變數和函數。你可以想象一下，如果你無法存取二進位制檔案的原始碼時，這將是多麼有用。
為了展示 nm，我們快速編寫了一個小程式，用 -g 選項編譯，我們會看到這個二進位制檔案沒有被剝離。
$ cat hello.c#include <stdio.h>int main() { printf("Hello world!"); return 0;}$$ gcc -g hello.c -o hello$$ file hellohello: ELF 64-bit LSB executable, x86-64, version 1 (SYSV), dynamically linked (uses shared libs), for GNU/Linux 2.6.32, BuildID[sha1]=3de46c8efb98bce4ad525d3328121568ba3d8a5d, not stripped$$ ./helloHello world!$$$ nm hello | tail0000000000600e20 d __JCR_END__0000000000600e20 d __JCR_LIST__00000000004005b0 T __libc_csu_fini0000000000400540 T __libc_csu_init U __libc_start_main@@GLIBC_2.2.5000000000040051d T main U printf@@GLIBC_2.2.50000000000400490 t register_tm_clones0000000000400430 T _start0000000000601030 D __TMC_END__$它的作用：GNU 偵錯程式。
好吧，不是所有的二進位制檔案中的東西都可以進行靜態分析。我們確實執行了一些執行二進位制檔案（進行分析）的命令，比如 ltrace 和 strace；然而，軟體由各種條件組成，這些條件可能會導致執行不同的替代路徑。
分析這些路徑的唯一方法是在執行時環境，在任何給定的位置停止或暫停程式，並能夠分析資訊，然後再往下執行。
這就是偵錯程式的作用，在 Linux 上，gdb 就是偵錯程式的事實標準。它可以幫助你載入程式，在特定的地方設定斷點，分析記憶體和 CPU 的暫存器，以及更多的功能。它是對上面提到的其他工具的補充，可以讓你做更多的執行時分析。
有一點需要注意的是，一旦你使用 gdb 載入一個程式，你會看到它自己的 (gdb) 提示符。所有進一步的命令都將在這個 gdb 命令提示字元中執行，直到你退出。
我們將使用我們之前編譯的 hello 程式，使用 gdb 來看看它的工作原理。
$ gdb -q ./helloReading symbols from /home/flash/hello...done.(gdb) break mainBreakpoint 1 at 0x400521: file hello.c, line 4.(gdb) info breakNum Type Disp Enb Address What1 breakpoint keep y 0x0000000000400521 in main at hello.c:4(gdb) runStarting program: /home/flash/./helloBreakpoint 1, main () at hello.c:44 printf("Hello world!");Missing separate debuginfos, use: debuginfo-install glibc-2.17-260.el7_6.6.x86_64(gdb) bt#0 main () at hello.c:4(gdb) cContinuing.Hello world q$一旦你習慣了使用這些原生的 Linux 二進位制分析工具，並理解了它們提供的輸出，你就可以轉向更高階和專業的開源二進位制分析工具，比如 radare2。