十二、Linux 工具箱

Abstract

本章的目的是向读者介绍一套用于分析 Linux 二进制文件内容的工具(实用程序和其他方法)。

快速洞察工具

使用file和/或size实用程序可以最简单、最直接地了解二进制文件的本质。

文件实用程序

简单地命名为file ( http://linux.die.net/man/1/file )的命令行实用程序用于查找任何文件类型的详细信息。它可以很快派上用场，因为它确定了关于二进制文件的最基本的信息(图 12-1 )。

图 12-1。

Using the file utility

尺寸实用程序

名为size ( http://linux.die.net/man/1/size )的命令行实用程序可用于即时了解 ELF 部分的字节长度(图 12-2 )。

图 12-2。

Using the size utility

详细的分析工具

通过依赖于统称为binutils ( www.gnu.org/software/binutils/)的实用程序集合，可以获得对二进制文件属性的详细了解。我将举例说明ldd、nm、objdump和readelf实用程序的使用。尽管它在形式上不属于 binutils，但名为 ldd 的 shell 脚本(由 Roland McGrath 和 Ulrich Drepper 编写)非常适合放在工具箱的同一个隔间中，因此也将说明它的用法。

掺杂漏极

命令ldd ( http://linux.die.net/man/1/ldd )是一个非常有用的工具，因为它显示了动态库的完整列表，客户端二进制程序将尝试静态感知这些动态库的负载(即，负载时间依赖性)。

当分析加载时依赖关系时，ldd首先检查二进制文件，试图定位 ELF 格式字段，其中最直接的依赖关系列表已经被链接器打上印记(如构建过程中链接器命令行所建议的)。

对于每个名字嵌入在客户端二进制文件中的动态库，ldd试图根据运行时库位置搜索规则定位它们实际的二进制文件(详见第 7 章中的)。一旦定位了最直接的依赖关系的二进制文件，ldd运行递归过程的下一级，试图找到它们的依赖关系。对每一个“第二代”依赖者，ldd进行另一轮调查，等等。

一旦所述的递归搜索完成，ldd收集报告的依赖项列表，删除重复项，并打印出结果(如图 12-3 )。

图 12-3。

Using the ldd utility

在使用ldd之前，了解它的局限性很重要:

ldd无法通过调用dlopen()函数来识别运行时动态加载的库。为了获得这类信息，必须采用不同的方法。更多详情请访问第十三章。
根据其手册页，运行某些ldd版本实际上可能代表一种安全威胁。

更安全的 ldd 替代品

如手册页中所述:

但是，请注意，在某些情况下，某些版本的 ldd 可能试图通过直接执行程序来获取依赖信息。因此，您不应该在不可信的可执行文件上使用 ldd，因为这可能导致任意代码的执行。在处理不受信任的可执行文件时，一个更安全的替代方法如下(也如图 12-4 所示):

$ objdump -p /path/to/program | grep NEEDED

图 12-4。

Using objdump to (only partially) substitute the ldd utility

使用readelf实用程序可以获得相同的结果(图 12-5 ):

$ readelf -d /path/to/program | grep NEEDED

图 12-5。

Using readelf to (only partially) substitute the ldd utility

显然，在依赖关系的分析中，这两种工具都不会比仅仅从二进制文件中读出最直接的依赖关系列表更深入。从安全的角度来看，这绝对是一种更安全的寻找答案的方法。

然而，所提供的列表远没有ldd通常所提供的那样详尽。为了匹配它，您可能需要自己进行递归搜索。

纳米

nm实用程序( http://linux.die.net/man/1/nm )用于列出一个二进制文件的符号(图 12-6 )。打印出符号的输出行还指示了符号类型。如果二进制文件包含 C++ 代码，则默认情况下会以损坏的形式打印符号。以下是一些最常用的输入参数组合:

图 12-7。

Using the nm utility to list mangled symbols

$ nm -D --no-demangle <path-to-binary>打印共享库的动态符号，并严格要求符号不混乱(图 12-7 )。

图 12-6。

Using the nm utility to list unmangled symbols

$ nm <path-to-binary>列出一个二进制文件的所有符号。在共享库的情况下，它不仅意味着导出(的.dynamic部分),还意味着所有其他符号。如果库已经被剥离(通过使用strip命令)，没有参数的nm将报告没有找到符号。
$ nm -D <path-to-binary>仅列出动态部分中的符号(即共享库的导出/可见符号)。
$ nm -C <path-to-binary以分解的格式列出符号(图 12-6 )。

该选项对于检测设计共享库时最常见的错误非常有用——当设计者忘记了 ABI 函数声明/定义中的extern“C”说明符时(这恰好是客户端二进制文件期望找到的)。

当您想要列出库的未定义符号时,$ nm -u <path-to-binary>是有用的(即，库本身不包含的符号，但指望在运行时提供，可能由一些其他加载的动态库提供)。
$ nm -A <library-folder-path>/* | grep symbol-name is useful when you search for a symbol in multitude of binaries located in the same folder, as -A option prints the name of each library in which a symbols is found (Figure 12-8) .

图 12-8。

Using nm to recursively search for the presence of a symbol in the set of libraries .

位于 www.thegeekstuff.com/2012/03/linux-nm-command/ 的网页文章列出了 10 个最有用的nm命令。

objdump(对象转储)

objdump ( http://linux.die.net/man/1/objdump )实用程序可能是最通用的二元分析工具。按时间顺序，它比readelf更古老，这在很多情况下与其能力相当。objdump的优势在于除了 ELF，还支持大约 50 种其他二进制格式。而且，它的拆卸能力比readelf更好。

以下章节涵盖了最常使用objdump的任务。

解析 ELF 标头

objdump -f命令行选项用于深入了解目标文件的文件头。标题提供了大量有用的信息。特别是，可以快速获得二进制类型(目标文件/静态库对动态库对可执行文件)以及关于入口点的信息(T2 段的开始)(图 12-9 )。

图 12-9。

Using objdump to parse the ELF header of various binary file types

当检查静态库时，objdump -f打印出在库中找到的每个目标文件的文件头。

列出和检查部分

objdump -h选项用于列出可用的截面(图 12-10 )。

图 12-10。

Using objdump to list the binary file sections

当涉及到部分检查时，objdump为程序员最感兴趣的部分提供了专用的命令开关。在接下来的几节中，我将介绍一些著名的例子。

列出所有符号

运行objdump -t <path-to-binary>提供完全等同于运行nm <path-to-binary>的输出(图 12-11 )。

图 12-11。

Using objdump to list all symbols

仅列出动态符号

运行objdump -T <path-to-binary>提供完全等同于运行nm -D <path-to-binary>的输出(图 12-12 )。

图 12-12。

Using objdump to list only dynamic symbols

检查动态部分

运行objdump -p <path-to-binary>检查动态部分(用于查找DT_RPATH和/或DT_RUNPATH设置)。请注意，在这种情况下，您关心显示输出的最后部分(图 12-13 )。

图 12-13。

Using objdump to examine the library dynamic section

检查重新安置部分

运行objdump -R <path-to-binary>检查搬迁段(图 12-14 )。

图 12-14。

Using objdump to list the relocation section

检查数据部分

运行objdump -s -j <section name> <path-to-binary>提供截面所携带值的十六进制转储。在图 12-15 中为.got段。

图 12-15。

Using objdump to examine the data section

列出和检查细分市场

运行objdump -p <path-to-binary>显示关于 ELF 二进制段的信息。请注意，只有显示输出的第一部分与该特定任务相关(图 12-16 )。

图 12-16。

Using objdump to list segments

反汇编代码

下面是一些如何使用objdump反汇编代码的例子:

Disassembling and Intel style and interspersing the original source code (Figure 12-18) .

图 12-18。

Using objdump to disassemble the binary file (Intel syntax) .
Disassembling and specifying assembler notation flavor (Intel style in this case), as shown in Figure 12-17 .

图 12-17。

Using objdump to disassemble the binary file .

仅当二进制文件是为调试而构建时，该选项才有效(即，使用-g选项)。

分解特定部分。

除了携带代码的.text部分，二进制文件可能包含其他部分(。plt为例)，其中也包含代码。默认情况下，objdump反汇编所有带有代码的部分。然而，在某些情况下，您可能对检查某个给定部分严格执行的代码感兴趣(图 12-19 )。

图 12-19。

Using objdump to disassemble a specific section

objdump nm 当量

objdump可用于提供nm命令的完全等效:

$ nm <path-to-binary>

等同于

$ objdump -t <path-to-binary>

$ nm -D <path-to-binary>

等同于

$ objdump -T <path-to-binary>

$ nm -C <path-to-binary>

等同于

$ objdump -C <path-to-binary>