专栏首页Opensource翻译专栏9个基本的GNU binutils 工具【Linux-Command-line】

9个基本的GNU binutils 工具【Linux-Command-line】

二进制分析是计算机行业中被低估的技能。

图片来源:opensource.com

想象一下,尽管无法访问软件的源代码,但仍然能够理解软件的实现方式,在其中找到漏洞,并且(更好的是)修复了错误。 凡此种种都源于二进制形式。 听起来像是拥有超能力,不是吗?

你也可以拥有这样的超级能力,GNU二进制实用程序(binutils)是一个很好的起点。 GNU binutils是二进制工具的集合,默认情况下,这些工具安装在所有Linux发行版中。

二进制分析是计算机行业中被低估的技能。 它主要由恶意软件分析师,反向工程师和在底层软件上工作的人员使用。

本文探讨了一些可用的binutils工具。 我正在使用的是RHEL,但是这些示例可以在任何Linux发行版上运行。

请注意,某些打包命令(例如rpm)可能在基于Debian的发行版中不可用,因此请在适用时使用等效的dpkg命令。

软件开发101

在开源世界中,我们很多人都专注于源代码形式的软件。 当软件的源代码随时可用时,很容易获得源代码的副本,打开你喜欢的编辑器,喝杯咖啡,然后开始探索。

但是源代码不是在CPU上执行的代码。 它是在CPU上执行的二进制或机器语言指令。 二进制或可执行文件是编译源代码时获得的。 熟练的调试人员通常会通过了解这种差异来获得优势。

汇编101

在深入研究binutils软件包本身之前,最好先了解编译的基础知识。

编译是将程序从某种编程语言(C / C ++)的源代码或文本形式转换为机器代码的过程。

机器代码是CPU(通常被称为硬件)可以理解的1和0的序列,因此可以由CPU执行或运行。 该机器码以特定格式保存到文件,通常称为可执行文件或二进制文件。 在Linux(当使用Linux Binary Compatibility时,还有BSD)上,这称为ELF(可执行和可链接格式)。

在呈现给定源文件的可执行文件或二进制文件之前,编译过程将经历一系列复杂的步骤。 以该源程序(C代码)为例。 打开你喜欢的编辑器,然后键入以下程序:

步骤1:使用cpp进行预处理

C preprocessor(cpp)用于扩展所有宏并包括头文件。 在此示例中,头文件“stdio.h”将包含在源代码中。 “stdio.h”是一个头文件,其中包含有关程序内使用的printf函数的信息。 cpp在源代码上运行,并将生成的指令保存在名为“hello.i”的文件中。 使用文本编辑器打开文件以查看其内容。 打印“hello world”的源代码在文件的底部。

步骤2:使用gcc进行编译

在此阶段,无需创建目标文件就将步骤1中的预处理源代码转换为汇编语言指令。 它使用GNU Compiler Collection (gcc)。 在“hello.i”文件上运行带有“-S”选项的gcc命令后,它将创建一个名为“hello.s”的新文件。 该文件包含C程序的汇编语言说明。

您可以使用任何编辑器或cat命令查看内容。

步骤3:用as组装

汇编程序的目的是将汇编语言指令转换为机器语言代码,并生成扩展名为“.o”的目标文件。 使用GNU汇编程序“as”,因为它在所有Linux平台上默认都可用。

现在,你有了ELF格式的第一个文件,然而当前你还不能执行它。 稍后,你将看到目标文件和可执行文件之间的区别。

步骤4:链接Id

当链接目标文件以创建可执行文件时,这是编译的最后阶段。 可执行文件通常需要外部函数,这些函数通常来自系统库(libc)。

可以使用ld命令直接调用链接器; 但是,此命令有些复杂。 相反,你可以将gcc编译器与“-v”(verbose)标志一起使用,以便了解链接的运作方式。 (你需要探索如何使用ld命令进行链接)

运行此命令后,你应该看到一个名为“a.out”的可执行文件:

在a.out上运行file命令表明它确实是ELF可执行文件:

运行可执行文件,查看它是否如源代码所示:

答案是肯定的! 只为在屏幕上打印“Hello World”,屏幕后发生了很多事情。 可以想像在更复杂的程序中会发生什么。

探索binutils工具

此练习为使用binutils软件包中的工具提供了良好的背景。 我的系统binutils版本为2.27-34, 考虑到Linux发行版的多样,你的版本可能有不同之处。

binutils软件包提供了以下可用工具:

上面的编译练习已经探索了其中两个工具:as命令用作汇编程序,而ld命令用作链接程序。 继续阅读以了解其他七个以上粗体突出显示的GNU binutils软件包工具。

readelf:显示有关ELF文件的信息

上面的练习提到了术语“目标文件”和“可执行文件”。 使用该练习中的文件,用“-h”(header)选项输入“readelf”,以便将文件的ELF标题转储到屏幕上。 请注意,以“.o”扩展名结尾的目标文件显示为“Type:REL(Relocatable file)”:

如果尝试执行此文件,将收到一条错误消息,指出无法执行。 这仅表示它尚不具备在CPU上执行所需的信息。

请记住,你首先需要使用chmod命令在目标文件上添加"x"或“executable bit”,否则将出现“Permission denied”错误。

如果对a.out文件尝试相同的命令,则会看到其类型为“EXEC”(Executable file,可执行文件)。

如前所示,该文件可以直接由CPU执行:

readelf命令提供了大量有关二进制文件的信息。 在这里,它告诉你它是ELF64位格式,这意味着它只能在64位CPU上执行,而不能在32位CPU上运行。 它还告诉你它应在X86-64(Intel / AMD)架构上执行。 二进制文件的入口点是地址0x400430,它只是C源程序中main function的地址。

在其他已知的系统二进制文件(如ls)上尝试使用readelf命令。 请注意,由于安全原因更改了位置无关可执行文件(PIE),因此在RHEL 8或Fedora 30及更高版本的系统上,你的输出(尤其是Type :)可能会有所不同。

使用ldd命令了解ls命令依赖于哪些系统库,如下所示:

在libc库文件上运行readelf以查看它是哪种文件。 正如它指出的那样,它是一个DYN(共享对象文件),这意味着它不能被直接执行。 必须由内部库提供的任意功能的可执行文件使用它。

size:列出部分大小和总大小

size命令仅适用于目标文件和可执行文件,因此,如果您尝试在简单的ASCII文件上运行它,则会出现错误,提示“File format not recognized(无法识别文件格式)”。

现在,从上面的练习中对目标文件和可执行文件运行size。 请注意,根据size命令的输出,可执行文件(a.out)的信息比目标文件(hello.o)的信息多得多:

但text,data和bss sections又意味着什么?

text sections引用二进制文件的代码部分,其中包含所有可执行指令。 data sections是所有初始化数据所在的位置,bss是所有未初始化数据存储的位置。

将size与其他一些可用的系统二进制文件进行比较。

对于ls命令:

查看size命令的输出,可知gcc和gdb是比ls更大的程序:

字符串:打印文件中可打印字符的字符串

通常在字符串命令中添加“-d”标志,用以仅显示数据部分中的可打印字符。

“hello.o”是一个目标文件,其中包含打印出文本“Hello World”的说明。 因此,strings命令的唯一输出是“Hello World”。

另一方面,在a.out(可执行文件)上运行strings,会显示链接阶段二进制文件中包含的其他信息:

回想一下,编译是将源代码指令转换为机器代码的过程。 机器代码仅由1和0组成,人类难以阅读。 因此,它有助于将机器代码表示为汇编语言指令。 汇编语言是什么样的? 请记住,汇编语言是特定于体系结构的; 我使用的是Intel或x86-64架构,如果你使用ARM架构编译相同的程序,指导说明将有所不同。

objdump:显示目标文件中的信息

可以从二进制文件中转出机器语言指令的另一个binutils工具称为“objdump”。

使用“-d”选项,该选项可从二进制文件中反汇编所有汇编指令。

该输出乍一看似乎令人生畏,但在你继续前,请花一点时间理解它。 回想一下,“.text”部分包含所有机器代码指令。 汇编说明可以在第四列中看到(即push,mov,callq,pop,retq)。 这些指令作用于寄存器,寄存器是CPU内置的存储器位置。 本示例中的寄存器是rbp,rsp,edi,eax等,每个寄存器都有特殊含义。

现在,在可执行文件(a.out)上运行objdump,然后查看得到的结果。 可执行文件上objdump的输出可能很大,因此我使用grep命令将其缩至main function:

注意,这些指令与目标文件“hello.o”相似,但是其中包含一些其他信息:

  • 目标文件“hello.o”具有以下指令:callq e
  • 可执行文件“a.out”包含以下指令以及地址和函数:callq 400400 <puts @ plt>

上面的汇编指令正在调用puts函数。请记住,你在源代码中使用了printf函数。编译器插入了对puts库函数的调用,以期将“Hello World”输出到屏幕。

查看puts上方行的说明:

  • 目标文件“hello.o”的指令为mov:mov $ 0x0,%edi
  • 可执行文件“a.out”的指令mov具有实际地址($ 0x4005d0)而不是$ 0x0:mov $ 0x4005d0,%edi

该指令将二进制文件中位于地址$ 0x4005d0的所有内容移动到名为edi的寄存器中。

该存储位置的内容中还有什么?是的,你猜对了:它只不过是文本“Hello,World”。你如何确定?

使用readelf命令可以将二进制文件(a.out)的任何部分转储到屏幕上。以下操作要求它将.rodata(只读数据)转储到屏幕上:

你可以在右侧看到文本“ Hello World”,在左侧看到其二进制地址。 它是否与你在上面的mov指令中看到的地址匹配? 是的,的确匹配。

strip:从目标文件中弃置符号

该命令通常用于将二进制文件运送给客户之前,以减小二进制文件的大小。

请记住,由于重要信息已从二进制文件中删除,因此它会阻碍调试过程。 但是,二进制文件依然可以顺利执行。

在你的a.out可执行文件上运行它,并注意会发生什么。 首先,通过运行以下命令确保二进制文件未被剥离(not stripped):

另外,在运行strip命令之前,请跟踪二进制文件中最初的字节数:

现在,在你的可执行文件上运行strip命令,并使用file命令确保它可以正常工作:

剥离二进制文件后,此小程序的大小从以前的8440字节减小到6296。 这样一个小型程序的空间能被极大节省,难怪大型程序经常被剥离。

addr2line:将地址转换为文件名和行号

addr2line工具只是在二进制文件中查找地址,并将其与C源代码程序中的行进行匹配。 很酷,对吧?

为此编写另一个测试程序; 只有这一次才能确保使用gcc的“-g”标志进行编译,这将为二进制文件添加其他调试信息,并且包含行号(在此处的源代码中提供)也将有所帮助:

使用“-g”标志进行编译并执行。 这里还没有惊喜:

现在使用objdump标识函数开始的内存地址。 您可以使用grep命令来过滤出所需的特定行。 功能的地址在下面突出显示:

现在,使用addr2line工具从二进制文件映射这些地址,以匹配C源代码的地址:

可见40051d在源文件atest.c中的第6行开始,这是function1的起始大括号“{”开始的行。 使function2和main的输出匹配。

nm:列出目标文件中的符号

使用上面的C程序测试nm工具。 使用gcc快速编译并执行。

现在运行nm和grep,获取有关函数和变量的信息:

你可以看到这些函数在text部分中标记为“T”,代表符号,而变量标记为“D”,其代表初始化data部分中的符号。

想象一下在没有源代码的二进制文件上运行此命令有多大用处? 这使你可以窥视内部并了解使用了哪些函数和变量。 当然,除非二进制文件已被剥离,否则它们将不包含任何符号,因此nm命令不会很有帮助,如在此处看到的:

结论

GNU binutils工具为有兴趣分析二进制文件的任何人提供了许多选项,这只是其作用的冰山一角。 阅读每种工具的手册页,了解更多相关使用信息。

原文链接:https://opensource.com/article/19/10/gnu-binutils

原文作者:Gaurav Kamathe(Red Hat)

我来说两句

0 条评论
登录 后参与评论

相关文章

  • 显示硬件信息的Linux命令【Linux-Command line】

    可能有很多原因导致你需要查找有关计算机硬件的详细信息。 例如,如果需要帮助修复某些问题并在在线论坛上发布请求,人们会立即询问你有关计算机的详细信息。 再者,如果...

    QRosie
  • 7个实用的Bash历史快捷方式【Linux-Command line】

    大多数Bash历史快捷方式指南都详尽列出了每个可用的条目。 这样做的问题是,我只使用一次快捷方式,当我尝试所有可能性时,我变得目光呆滞。 然后,我将投入工作并完...

    QRosie
  • API测试--HTTPie入门【Linux-Command line】

    使用HTTPie(一种使用Python编写的易于使用的命令行工具)调试API客户端。

    QRosie
  • 如何将织梦 CMS 静态化发布到云开发静态网站托管上

    云开发静态托管是云开发提供的静态网站托管的能力,静态资源(HTML、CSS、JavaScript、字体等)的分发由腾讯云对象存储 COS 和拥有多个边缘网点的腾...

    腾讯云开发TCB
  • 未来手机会有这些“黑科技”:真正无边框

    【三星明年或发折叠屏幕手机】 三星的Edge系列手机的曲面液晶着实让人们惊艳了一把,但除了酷炫之外,这块昂贵的屏幕似乎并没有什么突破性的功能,但三星的“弯曲梦”...

    老九君
  • 微信打开APP更新页面开发注意点

    上面的代码就是让页面随窗口大小自动适配,我的设计图的宽度为800,所以上面document.body.offsetWidth / 800来算出要缩放的值,缩放时...

    剑行者
  • Spring Boot MyBatis配置多数据源

    十毛
  • Netty源码阅读入门实战(八)-解码(更新 ing)

    就像很多标准的架构模式都被各种专用框架所支持一样,常见的数据处理模式往往也是目标实现的很好的候选对象,它可以节省开发人员大量的时间和精力。 当然这也适应于本文...

    JavaEdge
  • 结合Scikit-learn介绍几种常用的特征选择方法(上)

    特征选择(排序)对于数据科学家、机器学习从业者来说非常重要。好的特征选择能够提升模型的性能,更能帮助我们理解数据的特点、底层结构,这对进一步改善模型...

    智能算法
  • python epoll聊天室程序

     仿照《how to use linux epoll with python》写的一个聊天室程序,比较简单。

    py3study

扫码关注云+社区

领取腾讯云代金券