9个基本的GNU binutils 工具【Linux-Command-line】

二进制分析是计算机行业中被低估的技能。

想象一下，尽管无法访问软件的源代码，但仍然能够理解软件的实现方式，在其中找到漏洞，并且（更好的是）修复了错误。凡此种种都源于二进制形式。听起来像是拥有超能力，不是吗？

你也可以拥有这样的超级能力，GNU二进制实用程序（binutils）是一个很好的起点。 GNU binutils是二进制工具的集合，默认情况下，这些工具安装在所有Linux发行版中。

二进制分析是计算机行业中被低估的技能。它主要由恶意软件分析师，反向工程师和在底层软件上工作的人员使用。

本文探讨了一些可用的binutils工具。我正在使用的是RHEL，但是这些示例可以在任何Linux发行版上运行。

请注意，某些打包命令（例如rpm）可能在基于Debian的发行版中不可用，因此请在适用时使用等效的dpkg命令。

软件开发101

在开源世界中，我们很多人都专注于源代码形式的软件。当软件的源代码随时可用时，很容易获得源代码的副本，打开你喜欢的编辑器，喝杯咖啡，然后开始探索。

但是源代码不是在CPU上执行的代码。它是在CPU上执行的二进制或机器语言指令。二进制或可执行文件是编译源代码时获得的。熟练的调试人员通常会通过了解这种差异来获得优势。

汇编101

在深入研究binutils软件包本身之前，最好先了解编译的基础知识。

编译是将程序从某种编程语言（C / C ）的源代码或文本形式转换为机器代码的过程。

机器代码是CPU（通常被称为硬件）可以理解的1和0的序列，因此可以由CPU执行或运行。该机器码以特定格式保存到文件，通常称为可执行文件或二进制文件。在Linux（当使用Linux Binary Compatibility时，还有BSD）上，这称为ELF（可执行和可链接格式）。

在呈现给定源文件的可执行文件或二进制文件之前，编译过程将经历一系列复杂的步骤。以该源程序（C代码）为例。打开你喜欢的编辑器，然后键入以下程序：

步骤1：使用cpp进行预处理

C preprocessor（cpp）用于扩展所有宏并包括头文件。在此示例中，头文件“stdio.h”将包含在源代码中。 “stdio.h”是一个头文件，其中包含有关程序内使用的printf函数的信息。 cpp在源代码上运行，并将生成的指令保存在名为“hello.i”的文件中。使用文本编辑器打开文件以查看其内容。打印“hello world”的源代码在文件的底部。

步骤2：使用gcc进行编译

在此阶段，无需创建目标文件就将步骤1中的预处理源代码转换为汇编语言指令。它使用GNU Compiler Collection (gcc)。在“hello.i”文件上运行带有“-S”选项的gcc命令后，它将创建一个名为“hello.s”的新文件。该文件包含C程序的汇编语言说明。

您可以使用任何编辑器或cat命令查看内容。

步骤3：用as组装

汇编程序的目的是将汇编语言指令转换为机器语言代码，并生成扩展名为“.o”的目标文件。使用GNU汇编程序“as”，因为它在所有Linux平台上默认都可用。

现在，你有了ELF格式的第一个文件，然而当前你还不能执行它。稍后，你将看到目标文件和可执行文件之间的区别。

步骤4：链接Id

当链接目标文件以创建可执行文件时，这是编译的最后阶段。可执行文件通常需要外部函数，这些函数通常来自系统库（libc）。

可以使用ld命令直接调用链接器；但是，此命令有些复杂。相反，你可以将gcc编译器与“-v”（verbose）标志一起使用，以便了解链接的运作方式。（你需要探索如何使用ld命令进行链接）

运行此命令后，你应该看到一个名为“a.out”的可执行文件：

在a.out上运行file命令表明它确实是ELF可执行文件：

运行可执行文件，查看它是否如源代码所示：

答案是肯定的！只为在屏幕上打印“Hello World”，屏幕后发生了很多事情。可以想像在更复杂的程序中会发生什么。

探索binutils工具

此练习为使用binutils软件包中的工具提供了良好的背景。我的系统binutils版本为2.27-34，考虑到Linux发行版的多样，你的版本可能有不同之处。

binutils软件包提供了以下可用工具：

上面的编译练习已经探索了其中两个工具：as命令用作汇编程序，而ld命令用作链接程序。继续阅读以了解其他七个以上粗体突出显示的GNU binutils软件包工具。

readelf：显示有关ELF文件的信息

上面的练习提到了术语“目标文件”和“可执行文件”。使用该练习中的文件，用“-h”（header）选项输入“readelf”，以便将文件的ELF标题转储到屏幕上。请注意，以“.o”扩展名结尾的目标文件显示为“Type：REL（Relocatable file)”：

如果尝试执行此文件，将收到一条错误消息，指出无法执行。这仅表示它尚不具备在CPU上执行所需的信息。

请记住，你首先需要使用chmod命令在目标文件上添加"x"或“executable bit”，否则将出现“Permission denied”错误。

如果对a.out文件尝试相同的命令，则会看到其类型为“EXEC”（Executable file，可执行文件）。

如前所示，该文件可以直接由CPU执行：

readelf命令提供了大量有关二进制文件的信息。在这里，它告诉你它是ELF64位格式，这意味着它只能在64位CPU上执行，而不能在32位CPU上运行。它还告诉你它应在X86-64（Intel / AMD）架构上执行。二进制文件的入口点是地址0x400430，它只是C源程序中main function的地址。

在其他已知的系统二进制文件（如ls）上尝试使用readelf命令。请注意，由于安全原因更改了位置无关可执行文件（PIE），因此在RHEL 8或Fedora 30及更高版本的系统上，你的输出（尤其是Type :）可能会有所不同。

使用ldd命令了解ls命令依赖于哪些系统库，如下所示：

在libc库文件上运行readelf以查看它是哪种文件。正如它指出的那样，它是一个DYN（共享对象文件），这意味着它不能被直接执行。必须由内部库提供的任意功能的可执行文件使用它。

size：列出部分大小和总大小

size命令仅适用于目标文件和可执行文件，因此，如果您尝试在简单的ASCII文件上运行它，则会出现错误，提示“File format not recognized（无法识别文件格式）”。

现在，从上面的练习中对目标文件和可执行文件运行size。请注意，根据size命令的输出，可执行文件（a.out）的信息比目标文件（hello.o）的信息多得多：

但text，data和bss sections又意味着什么？

text sections引用二进制文件的代码部分，其中包含所有可执行指令。 data sections是所有初始化数据所在的位置，bss是所有未初始化数据存储的位置。

将size与其他一些可用的系统二进制文件进行比较。

对于ls命令：

查看size命令的输出，可知gcc和gdb是比ls更大的程序：

字符串：打印文件中可打印字符的字符串

通常在字符串命令中添加“-d”标志，用以仅显示数据部分中的可打印字符。

“hello.o”是一个目标文件，其中包含打印出文本“Hello World”的说明。因此，strings命令的唯一输出是“Hello World”。

另一方面，在a.out（可执行文件）上运行strings，会显示链接阶段二进制文件中包含的其他信息：

回想一下，编译是将源代码指令转换为机器代码的过程。机器代码仅由1和0组成，人类难以阅读。因此，它有助于将机器代码表示为汇编语言指令。汇编语言是什么样的？请记住，汇编语言是特定于体系结构的；我使用的是Intel或x86-64架构，如果你使用ARM架构编译相同的程序，指导说明将有所不同。

objdump：显示目标文件中的信息

可以从二进制文件中转出机器语言指令的另一个binutils工具称为“objdump”。

使用“-d”选项，该选项可从二进制文件中反汇编所有汇编指令。

该输出乍一看似乎令人生畏，但在你继续前，请花一点时间理解它。回想一下，“.text”部分包含所有机器代码指令。汇编说明可以在第四列中看到（即push，mov，callq，pop，retq）。这些指令作用于寄存器，寄存器是CPU内置的存储器位置。本示例中的寄存器是rbp，rsp，edi，eax等，每个寄存器都有特殊含义。

现在，在可执行文件（a.out）上运行objdump，然后查看得到的结果。可执行文件上objdump的输出可能很大，因此我使用grep命令将其缩至main function：