最近在调试一些问题，发现几个命令很实用，记录一下。

        也许大家都遇到过这种场景,就是有二进制代码,比如深度分析下此文件到底是什么格式的图片等，这篇文章就记录我分析下二进制可执行文件的过程，已经自己读写二进制文件的一些坑。分析的二进制执行文件为linux下的可执行文件。

     Linux下有个最常用的通用命令，来分析任何文件的基本格式，那就是file，来看下：

    可以看到基本信息，比如是什么类型文件，只是概述，还有些其他选项，可以用 -h 查看。

 动态链接库，即没有在编译链接的时候直接打入到程序中的，而是运行时候动态加载了，从而节省内存，通过动态链接库，我们可以知道这个可执行文件用了哪些动态库，方法也比较简单。

 这是我写的一个小程序的动态链接库信息，通过链接库分析的信息也同样比较少，用这个命令多查看依赖链接库找不到的问题。

nm可以列出二进制可执行文件，动态库，静态库中的符号信息，包括符号的类型，符号名称，比如函数名，全局变量等，通过这些信息可以看到不少有用的信息，通过函数名猜函数功能，使用的帮助如下：

配合grep信息可以很方便的进行符号搜索：

对于一些动态库，直接nm可能查不到信息，可以通过 nm -D 命令查看。

strings信息可以打印二进制文件中的字符串信息，结合grep进行搜索，用grep命令其实可以直接在二进制文件中搜索内容，但是不够直观，用strings看起来的更直观些：

strings 会把任何可打印字符串都显示出来，比nm的内容更多，截取部分如下：

objdump是个值得深入学习的指令，不光可以还原汇编指令，还可以读取二进制中特定段的信息，更可怕的是，如果我们的程序是以-g -o0等调试不优化的情况下，用objdump -S指令可能尽可能地还原源代码信息（没看错，是还原出源代码信息），其实也可以理解这些信息是完整的在可执行文件中的，要不然gdb调试的时候没办法单步追踪了，测试如下：

参数选项：

关于符号表字段下面直接只介绍部分常用的：

如果二进制文件是ELF格式的，通过 file 文件可以查看文件格式.使用 readelf 指令可以方便分析ELF文件的结构，比如节信息，elf头文件信息，比如我们在分析文件是否为病毒文件的时候，需要读取 elf 文件头信息，做一些特征的判断，或作为特征参与机器学习的判断。

 readelf读取文件头

还有些其他命令，有兴趣的小伙伴，可以通过-h命令还原看下。

这也是一个很棒的命令，我们可以查看程序执行的时候调用库函数信息，还可以在线查看执行的进程的库函数调用情况，找几个比较典型的命令，测试的代码比较简单如下：