bin文件格式,bin文件格式用什么软件可以打开?
这世界有10种人,一种人懂二进制,另一种人不懂二进制。 ——鲁迅
大家好,我是良许。
二进制文件是我们几乎每天都需要打交道的文件类型,但很少人知道他们的工作原理。这里所讲的二进制文件,是指一些可执行文件,包括你天天要使用的 Linux 命令,也是二进制文件的一种。
Linux 系统给我们提供了非常多用于分析二进制文件的工具,不管你在 Linux 下从事的是何种工作,知道这些工具也会让你对你的系统更加了解。
在本文中,将介绍几种最常用的用于分析二进制文件的工具及命令,这些工具在大部分发行版里可以直接使用,如果不能直接用的话,可以自行安装。
file
file 命令用于分析文件的类型。
如果你需要分析二进制文件,可以首先使用 file 命令来切入。我们知道,在 Linux 下,一切皆文件,但并不是所有的文件都具有可执行性,我们还有各种各样的文件,比如:文本文件,管道文件,链接文件,socket文件,等等。
在对一个文件进行分析之前,我们可以首先使用 file 命令来分析它们的类型。当然除此之外,我们还可以看到一些其它信息。
$ file /bin/pwd/bin/pwd: ELF 64-bit LSв executable, x86-64, version 1 (SYSV), dynamically linked (uses shared libs), for GNU/Linux 2.6.32, BuildID[sha1]=0d264bacf2adc568f0e21cbcc9576df434c44380, stripped
ldd
ldd 命令可以用于分析可执行文件的依赖。
我们使用 file 命令来分析一个可执行文件的时候,有时候可以看到输出中有 dynamically linked 这样的字眼。这个是啥意思呢?
大部分程序,都会使用到第三方库,这样就可以不用重复造轮子,节约大量时间。最简单的,我们写C程序代码的话,肯定会使用到 libc 或者 glibc 库。当然,除此之外,还可能使用其它的库。
那我们在什么情况下需要分析程序的依赖库呢?有一个场景大家肯定经历过。你去你同事那边拷备他写好的程序放到自己的环境下运行,有时候可能会跑不起来。当然跑不起来的原因可能很多,但其中一个原因可能就是缺少对应的依赖库。
这时候,ldd 就派上用场了。它可以分析程序需要一些什么依赖库,你只要把对应的库放在对应的位置就可以了。
$ ldd /bin/pwd linux-vdso.so.1 => (0x00007ffeb73e5000) libc.so.6 => /lib64/libc.so.6 (0x00007f908b321000) /lib64/ld-linux-x86-64.so.2 (0x00007f908b6ef000)
ltrace
ltrace的功能是能够跟踪进程的库函数调用。
我们可以使用 ldd 命令来找到程序的依赖库,但是,一个库里少则几个,多则几千个函数,怎么知道现在程序调用的是什么函数呢?
ltrace 命令就是用来做这个事的。在下面的例子里,我们可以看到程序调用的函数,以及传递进去的参数,同时你也可以看到函数调用的输出。
$ ltrace /bin/pwd__libc_start_main(0x401760, 1, 0x7ffff6524cc8, 0x404a00 <unfinished ...>getenv("POSIXLY_CORRECT") = nilstrrchr("/bin/pwd", '/') = "/pwd"setlocale(LC_ALL, "") = "en_US.utf8"bindtextdomain("coreutils", "/usr/share/locale") = "/usr/share/locale"textdomain("coreutils") = "coreutils"__cxa_atexit(0x4022f0, 0, 0, 0x736c6974756572) = 0getopt_long(1, 0x7ffff6524cc8, "LP", 0x606d00, nil) = -1getcwd(nil, 0) = ""puts("/home/alvin"/home/alvin) = 12free(0x22bc030) = <void>exit(0 <unfinished ...>__fpending(0x7f3048865400, 0, 64, 0x7f3048865eb0) = 0fileno(0x7f3048865400) = 1__freading(0x7f3048865400, 0, 64, 0x7f3048865eb0) = 0__freading(0x7f3048865400, 0, 2052, 0x7f3048865eb0) = 0fflush(0x7f3048865400) = 0fclose(0x7f3048865400) = 0__fpending(0x7f30488651c0, 0, 3328, 0xfbad000c) = 0fileno(0x7f30488651c0) = 2__freading(0x7f30488651c0, 0, 3328, 0xfbad000c) = 0__freading(0x7f30488651c0, 0, 4, 0xfbad000c) = 0fflush(0x7f30488651c0) = 0fclose(0x7f30488651c0) = 0+++ exited (status 0) +++
strace
strace 命令可以用于追踪程序运行过程中的系统调用及信号。
通过上面的介绍,我们知道 ltrace 命令是用来追踪函数调用的。strace 命令类似,但它追踪的是系统调用。何为系统调用?简单说就是我们可以通过系统调用与内核进行交互,完成我们想要的任务。
例如,如果我们想在屏幕上打印某些字符,可以使用 printf 或 puts 函数,而这两个都是 libc 的库函数,在更底层,他们都是调用 write 这个系统调用。
$ strace -f /bin/pwdexecve("/bin/pwd", ["/bin/pwd"], [/* 24 vars */]) = 0brk(NULL) = 0xbc9000mmap(NULL, 4096, PROT_READ|PROT_WRITE, MAP_PRIVATE|MAP_ANONYMOUS, -1, 0) = 0x7f918ba69000access("/etc/ld.so.preload", R_OK) = -1 ENOENT (No such file or directory)open("/etc/ld.so.cache", O_RDONLY|O_CLOEXEC) = 3fstat(3, {st_mode=S_IFREG|0644, st_size=38684, ...}) = 0mmap(NULL, 38684, PROT_READ, MAP_PRIVATE, 3, 0) = 0x7f918ba5f000close(3) = 0open("/lib64/libc.so.6", O_RDONLY|O_CLOEXEC) = 3read(3, "177ELF2113 3 >