linux二進(jìn)制文件指的是什么

本文小編為大家詳細(xì)介紹“l(fā)inux二進(jìn)制文件指的是什么”，內(nèi)容詳細(xì)，步驟清晰，細(xì)節(jié)處理妥當(dāng)，希望這篇“l(fā)inux二進(jìn)制文件指的是什么”文章能幫助大家解決疑惑，下面跟著小編的思路慢慢深入，一起來學(xué)習(xí)新知識(shí)吧。

在linux中，二進(jìn)制文件即指文件，由文件在外部設(shè)備的存放形式為二進(jìn)制而得名。二進(jìn)制文件編碼是變長的，靈活利用率要高，而譯碼要難一些，不同的二進(jìn)制文件譯碼方式是不同的。Linux中的可執(zhí)行文件（腳本，文本方式的批處理文件不算）就是二進(jìn)制格式的。

二進(jìn)制文件是什么

普通文件（regular file）：就是一般存取的文件，由ls -al顯示出來的屬性中，第一個(gè)屬性為 [-]，例如 [-rwxrwxrwx]。另外，依照文件的內(nèi)容，又大致可以分為：

• 1、純文本文件（ASCII）：這是Unix系統(tǒng)中最多的一種文件類型，之所以稱為純文本文件，是因?yàn)閮?nèi)容可以直接讀到的數(shù)據(jù)，例如數(shù)字、字母等等。設(shè) 置文件幾乎都屬于這種文件類型。舉例來說，使用命令“cat ~/.bashrc”就可以看到該文件的內(nèi)容（cat是將文件內(nèi)容讀出來）。

• 2、二進(jìn)制文件（binary）：系統(tǒng)其實(shí)僅認(rèn)識(shí)且可以執(zhí)行二進(jìn)制文件（binary file）。Linux中的可執(zhí)行文件（腳本，文本方式的批處理文件不算）就是這種格式的。舉例來說，命令cat就是一個(gè)二進(jìn)制文件。

  廣義的二進(jìn)制文件即指文件，由文件在外部設(shè)備的存放形式為二進(jìn)制而得名。狹義的二進(jìn)制文件即除文本文件以外的文件。文本文件是一種由很多行字符構(gòu)成的計(jì)算機(jī)文件。文本文件存在于計(jì)算機(jī)系統(tǒng)中，通常在文本文件最后一行放置文件結(jié)束標(biāo)志。文本文件的編碼基于字符定長，譯碼相對(duì)要容易一些；二進(jìn)制文件編碼是變長的，靈活利用率要高，而譯碼要難一些，不同的二進(jìn)制文件譯碼方式是不同的。
  

• 3、數(shù)據(jù)格式的文件（data）：有些程序在運(yùn)行過程中，會(huì)讀取某些特定格式的文件，那些特定格式的文件可以稱為數(shù)據(jù)文件（data file）。舉例來說，Linux在用戶登入時(shí)，都會(huì)將登錄數(shù)據(jù)記錄在 /var/log/wtmp文件內(nèi)，該文件是一個(gè)數(shù)據(jù)文件，它能通過last命令讀出來。但使用cat時(shí)，會(huì)讀出linux系統(tǒng)亂碼。因?yàn)樗菍儆谝环N特殊格式的文件。

Linux 上分析二進(jìn)制文件的 10 種方法

“這個(gè)世界上有 10 種人：懂二進(jìn)制的人和不懂二進(jìn)制的人?！?/p>

我們每天都在與二進(jìn)制文件打交道，但我們對(duì)二進(jìn)制文件卻知之甚少。我所說的二進(jìn)制，是指你每天運(yùn)行的可執(zhí)行文件，從命令行工具到成熟的應(yīng)用程序都是。

Linux 提供了一套豐富的工具，讓分析二進(jìn)制文件變得輕而易舉。無論你的工作角色是什么，如果你在 Linux 上工作，了解這些工具的基本知識(shí)將幫助你更好地理解你的系統(tǒng)。

在這篇文章中，我們將介紹其中一些最流行的 Linux 工具和命令，其中大部分都是 Linux 發(fā)行版的一部分。如果沒有找到，你可以隨時(shí)使用你的軟件包管理器來安裝和探索它們。請(qǐng)記?。簩W(xué)習(xí)在正確的場合使用正確的工具需要大量的耐心和練習(xí)。

file

它的作用：幫助確定文件類型。

這將是你進(jìn)行二進(jìn)制分析的起點(diǎn)。我們每天都在與文件打交道，并非所有的文件都是可執(zhí)行類型，除此之外還有各種各樣的文件類型。在你開始之前，你需要了解要分析的文件類型。是二進(jìn)制文件、庫文件、ASCII 文本文件、視頻文件、圖片文件、PDF、數(shù)據(jù)文件等文件嗎？

file 命令將幫助你確定你所處理的文件類型。

$ file /bin/ls
/bin/ls: ELF 64-bit LSB executable, x86-64, version 1 (SYSV), dynamically linked (uses shared libs), for GNU/Linux 2.6.32, BuildID[sha1]=94943a89d17e9d373b2794dcb1f7e38c95b66c86, stripped
$
$ file /etc/passwd
/etc/passwd: ASCII text
$

ldd

它的作用：打印共享對(duì)象依賴關(guān)系。

如果你已經(jīng)在一個(gè)可執(zhí)行的二進(jìn)制文件上使用了上面的 file 命令，你肯定會(huì)看到輸出中的“ 動(dòng)態(tài)鏈接(dynamically linked)”信息。它是什么意思呢？

在開發(fā)軟件的時(shí)候，我們盡量不要重造輪子。有一組常見的任務(wù)是大多數(shù)軟件程序需要的，比如打印輸出或從標(biāo)準(zhǔn)輸入/打開的文件中讀取等。所有這些常見的任務(wù)都被抽象成一組通用的函數(shù)，然后每個(gè)人都可以使用，而不是寫出自己的變體。這些常用的函數(shù)被放在一個(gè)叫 libc 或 glibc 的庫中。

如何找到可執(zhí)行程序所依賴的庫？這就是 ldd 命令的作用了。對(duì)動(dòng)態(tài)鏈接的二進(jìn)制文件運(yùn)行該命令會(huì)顯示出所有依賴庫和它們的路徑。

$ ldd /bin/ls
        linux-vdso.so.1 =>  (0x00007ffef5ba1000)
        libselinux.so.1 => /lib64/libselinux.so.1 (0x00007fea9f854000)
        libcap.so.2 => /lib64/libcap.so.2 (0x00007fea9f64f000)
        libacl.so.1 => /lib64/libacl.so.1 (0x00007fea9f446000)
        libc.so.6 => /lib64/libc.so.6 (0x00007fea9f079000)
        libpcre.so.1 => /lib64/libpcre.so.1 (0x00007fea9ee17000)
        libdl.so.2 => /lib64/libdl.so.2 (0x00007fea9ec13000)
        /lib64/ld-linux-x86-64.so.2 (0x00007fea9fa7b000)
        libattr.so.1 => /lib64/libattr.so.1 (0x00007fea9ea0e000)
        libpthread.so.0 => /lib64/libpthread.so.0 (0x00007fea9e7f2000)
$

ltrace

它的作用：庫調(diào)用跟蹤器。

我們現(xiàn)在知道如何使用 ldd 命令找到一個(gè)可執(zhí)行程序所依賴的庫。然而，一個(gè)庫可以包含數(shù)百個(gè)函數(shù)。在這幾百個(gè)函數(shù)中，哪些是我們的二進(jìn)制程序正在使用的實(shí)際函數(shù)？

ltrace 命令可以顯示運(yùn)行時(shí)從庫中調(diào)用的所有函數(shù)。在下面的例子中，你可以看到被調(diào)用的函數(shù)名稱，以及傳遞給該函數(shù)的參數(shù)。你也可以在輸出的最右邊看到這些函數(shù)返回的內(nèi)容。

$ ltrace ls
__libc_start_main(0x4028c0, 1, 0x7ffd94023b88, 0x412950 <unfinished ...>
strrchr("ls", '/')                                                                  = nil
setlocale(LC_ALL, "")                                                               = "en_US.UTF-8"
bindtextdomain("coreutils", "/usr/share/locale")                                    = "/usr/share/locale"
textdomain("coreutils")                                                             = "coreutils"
__cxa_atexit(0x40a930, 0, 0, 0x736c6974756572)                                      = 0
isatty(1)                                                                           = 1
getenv("QUOTING_STYLE")                                                             = nil
getenv("COLUMNS")                                                                   = nil
ioctl(1, 21523, 0x7ffd94023a50)                                                     = 0
<< snip >>
fflush(0x7ff7baae61c0)                                                              = 0
fclose(0x7ff7baae61c0)                                                              = 0
+++ exited (status 0) +++
$

hexdump

它的作用：以 ASCII、十進(jìn)制、十六進(jìn)制或八進(jìn)制顯示文件內(nèi)容。

通常情況下，當(dāng)你用一個(gè)應(yīng)用程序打開一個(gè)文件，而它不知道如何處理該文件時(shí)，就會(huì)出現(xiàn)這種情況。嘗試用 vim 打開一個(gè)可執(zhí)行文件或視頻文件，你屏幕上會(huì)看到的只是拋出的亂碼。

在 hexdump 中打開未知文件，可以幫助你看到文件的具體內(nèi)容。你也可以選擇使用一些命令行選項(xiàng)來查看用 ASCII 表示的文件數(shù)據(jù)。這可能會(huì)幫助你了解到它是什么類型的文件。

$ hexdump -C /bin/ls | head
00000000  7f 45 4c 46 02 01 01 00  00 00 00 00 00 00 00 00  |.ELF............|
00000010  02 00 3e 00 01 00 00 00  d4 42 40 00 00 00 00 00  |..>......B@.....|
00000020  40 00 00 00 00 00 00 00  f0 c3 01 00 00 00 00 00  |@...............|
00000030  00 00 00 00 40 00 38 00  09 00 40 00 1f 00 1e 00  |....@.8...@.....|
00000040  06 00 00 00 05 00 00 00  40 00 00 00 00 00 00 00  |........@.......|
00000050  40 00 40 00 00 00 00 00  40 00 40 00 00 00 00 00  |@.@.....@.@.....|
00000060  f8 01 00 00 00 00 00 00  f8 01 00 00 00 00 00 00  |................|
00000070  08 00 00 00 00 00 00 00  03 00 00 00 04 00 00 00  |................|
00000080  38 02 00 00 00 00 00 00  38 02 40 00 00 00 00 00  |8.......8.@.....|
00000090  38 02 40 00 00 00 00 00  1c 00 00 00 00 00 00 00  |8.@.............|
$

strings

它的作用：打印文件中的可打印字符的字符串。

如果你只是在二進(jìn)制中尋找可打印的字符，那么 hexdump 對(duì)于你的使用場景來說似乎有點(diǎn)矯枉過正，你可以使用 strings 命令。

在開發(fā)軟件的時(shí)候，各種文本/ASCII 信息會(huì)被添加到其中，比如打印信息、調(diào)試信息、幫助信息、錯(cuò)誤等。只要這些信息都存在于二進(jìn)制文件中，就可以用 strings 命令將其轉(zhuǎn)儲(chǔ)到屏幕上。

$ strings /bin/ls

readelf

它的作用：顯示有關(guān) ELF 文件的信息。

ELF（ 可執(zhí)行和可鏈接文件格式(Executable and Linkable File Format)）是可執(zhí)行文件或二進(jìn)制文件的主流格式，不僅是 Linux 系統(tǒng)，也是各種 UNIX 系統(tǒng)的主流文件格式。如果你已經(jīng)使用了像 file 命令這樣的工具，它告訴你文件是 ELF 格式，那么下一步就是使用 readelf 命令和它的各種選項(xiàng)來進(jìn)一步分析文件。

在使用 readelf 命令時(shí)，有一份實(shí)際的 ELF 規(guī)范的參考是非常有用的。你可以在這里找到該規(guī)范。

$ readelf -h /bin/ls
ELF Header:
  Magic:   7f 45 4c 46 02 01 01 00 00 00 00 00 00 00 00 00
  Class:                             ELF64
  Data:                              2's complement, little endian
  Version:                           1 (current)
  OS/ABI:                            UNIX - System V
  ABI Version:                       0
  Type:                              EXEC (Executable file)
  Machine:                           Advanced Micro Devices X86-64
  Version:                           0x1
  Entry point address:               0x4042d4
  Start of program headers:          64 (bytes into file)
  Start of section headers:          115696 (bytes into file)
  Flags:                             0x0
  Size of this header:               64 (bytes)
  Size of program headers:           56 (bytes)
  Number of program headers:         9
  Size of section headers:           64 (bytes)
  Number of section headers:         31
  Section header string table index: 30
$

objdump

它的作用：從對(duì)象文件中顯示信息。

二進(jìn)制文件是通過你編寫的源碼創(chuàng)建的，這些源碼會(huì)通過一個(gè)叫做編譯器的工具進(jìn)行編譯。這個(gè)編譯器會(huì)生成相對(duì)于源代碼的機(jī)器語言指令，然后由 CPU 執(zhí)行特定的任務(wù)。這些機(jī)器語言代碼可以通過被稱為匯編語言的助記詞來解讀。匯編語言是一組指令，它可以幫助你理解由程序所進(jìn)行并最終在 CPU 上執(zhí)行的操作。

objdump 實(shí)用程序讀取二進(jìn)制或可執(zhí)行文件，并將匯編語言指令轉(zhuǎn)儲(chǔ)到屏幕上。匯編語言知識(shí)對(duì)于理解 objdump 命令的輸出至關(guān)重要。

請(qǐng)記?。簠R編語言是特定于體系結(jié)構(gòu)的。

$ objdump -d /bin/ls | head

/bin/ls:     file format elf64-x86-64

Disassembly of section .init:

0000000000402150 <_init@@Base>:
  402150:       48 83 ec 08             sub    $0x8,%rsp
  402154:       48 8b 05 6d 8e 21 00    mov    0x218e6d(%rip),%rax        # 61afc8 <__gmon_start__>
  40215b:       48 85 c0                test   %rax,%rax
$

strace

它的作用：跟蹤系統(tǒng)調(diào)用和信號(hào)。

如果你用過前面提到的 ltrace，那就把 strace 想成是類似的。唯一的區(qū)別是，strace 工具不是追蹤調(diào)用的庫，而是追蹤系統(tǒng)調(diào)用。系統(tǒng)調(diào)用是你與內(nèi)核對(duì)接來完成工作的。

舉個(gè)例子，如果你想把一些東西打印到屏幕上，你會(huì)使用標(biāo)準(zhǔn)庫 libc 中的 printf 或 puts 函數(shù)；但是，在底層，最終會(huì)有一個(gè)名為 write 的系統(tǒng)調(diào)用來實(shí)際把東西打印到屏幕上。

$ strace -f /bin/ls
execve("/bin/ls", ["/bin/ls"], [/* 17 vars */]) = 0
brk(NULL)                               = 0x686000
mmap(NULL, 4096, PROT_READ|PROT_WRITE, MAP_PRIVATE|MAP_ANONYMOUS, -1, 0) = 0x7f967956a000
access("/etc/ld.so.preload", R_OK)      = -1 ENOENT (No such file or directory)
open("/etc/ld.so.cache", O_RDONLY|O_CLOEXEC) = 3
fstat(3, {st_mode=S_IFREG|0644, st_size=40661, ...}) = 0
mmap(NULL, 40661, PROT_READ, MAP_PRIVATE, 3, 0) = 0x7f9679560000
close(3)                                = 0
<< snip >>
fstat(1, {st_mode=S_IFCHR|0620, st_rdev=makedev(136, 1), ...}) = 0
mmap(NULL, 4096, PROT_READ|PROT_WRITE, MAP_PRIVATE|MAP_ANONYMOUS, -1, 0) = 0x7f9679569000
write(1, "R2  RH\n", 7R2  RH
)                 = 7
close(1)                                = 0
munmap(0x7f9679569000, 4096)            = 0
close(2)                                = 0
exit_group(0)                           = ?
+++ exited with 0 +++
$

nm

它的作用：列出對(duì)象文件中的符號(hào)。

如果你所使用的二進(jìn)制文件沒有被剝離，nm 命令將為你提供在編譯過程中嵌入到二進(jìn)制文件中的有價(jià)值的信息。nm 可以幫助你從二進(jìn)制文件中識(shí)別變量和函數(shù)。你可以想象一下，如果你無法訪問二進(jìn)制文件的源代碼時(shí)，這將是多么有用。

為了展示 nm，我們快速編寫了一個(gè)小程序，用 -g 選項(xiàng)編譯，我們會(huì)看到這個(gè)二進(jìn)制文件沒有被剝離。

$ cat hello.c
#include <stdio.h>

int main() {
    printf("Hello world!");
    return 0;
}
$
$ gcc -g hello.c -o hello
$
$ file hello
hello: ELF 64-bit LSB executable, x86-64, version 1 (SYSV), dynamically linked (uses shared libs), for GNU/Linux 2.6.32, BuildID[sha1]=3de46c8efb98bce4ad525d3328121568ba3d8a5d, not stripped
$
$ ./hello
Hello world!$
$


$ nm hello | tail
0000000000600e20 d __JCR_END__
0000000000600e20 d __JCR_LIST__
00000000004005b0 T __libc_csu_fini
0000000000400540 T __libc_csu_init
                 U __libc_start_main@@GLIBC_2.2.5
000000000040051d T main
                 U printf@@GLIBC_2.2.5
0000000000400490 t register_tm_clones
0000000000400430 T _start
0000000000601030 D __TMC_END__
$

gdb

它的作用：GNU 調(diào)試器。

好吧，不是所有的二進(jìn)制文件中的東西都可以進(jìn)行靜態(tài)分析。我們確實(shí)執(zhí)行了一些運(yùn)行二進(jìn)制文件（進(jìn)行分析）的命令，比如 ltrace 和 strace；然而，軟件由各種條件組成，這些條件可能會(huì)導(dǎo)致執(zhí)行不同的替代路徑。

分析這些路徑的唯一方法是在運(yùn)行時(shí)環(huán)境，在任何給定的位置停止或暫停程序，并能夠分析信息，然后再往下執(zhí)行。

這就是調(diào)試器的作用，在 Linux 上，gdb 就是調(diào)試器的事實(shí)標(biāo)準(zhǔn)。它可以幫助你加載程序，在特定的地方設(shè)置斷點(diǎn)，分析內(nèi)存和 CPU 的寄存器，以及更多的功能。它是對(duì)上面提到的其他工具的補(bǔ)充，可以讓你做更多的運(yùn)行時(shí)分析。

有一點(diǎn)需要注意的是，一旦你使用 gdb 加載一個(gè)程序，你會(huì)看到它自己的 (gdb) 提示符。所有進(jìn)一步的命令都將在這個(gè) gdb 命令提示符中運(yùn)行，直到你退出。

我們將使用我們之前編譯的 hello 程序，使用 gdb 來看看它的工作原理。

$ gdb -q ./hello
Reading symbols from /home/flash/hello...done.
(gdb) break main
Breakpoint 1 at 0x400521: file hello.c, line 4.
(gdb) info break
Num     Type           Disp Enb Address            What
1       breakpoint     keep y   0x0000000000400521 in main at hello.c:4
(gdb) run
Starting program: /home/flash/./hello

Breakpoint 1, main () at hello.c:4
4           printf("Hello world!");
Missing separate debuginfos, use: debuginfo-install glibc-2.17-260.el7_6.6.x86_64
(gdb) bt
#0  main () at hello.c:4
(gdb) c
Continuing.
Hello world![Inferior 1 (process 29620) exited normally]
(gdb) q
$

讀到這里，這篇“l(fā)inux二進(jìn)制文件指的是什么”文章已經(jīng)介紹完畢，想要掌握這篇文章的知識(shí)點(diǎn)還需要大家自己動(dòng)手實(shí)踐使用過才能領(lǐng)會(huì)，如果想了解更多相關(guān)內(nèi)容的文章，歡迎關(guān)注億速云行業(yè)資訊頻道。