您的位置：首页 > 编程语言 > C语言/C++

开发实用命令和工具----小话c语言(16)

2012-05-25 12:47 183 查看

[Mac 10.7.1 Lion Intel-based x64 gcc4.2.1]

Q：有的时候，记得在某个目录下写过某个变量或者其它什么文本形式的东西，但是后来忘记写在哪个文件里了，怎么找到？

A：这个就需要用到grep命令了。它很强大，尤其对于开发或者寻找某个东西在哪里的时候。举个例子，有个目录里面有一些文件：

而且，有一些文件里面含有main字符串，现在需要把它们找出来：

很可惜，在mac10.7.1下面，grep的一个参数-r似乎无效，不能递归到子目录下搜索；不过在cygwin里面是ok的；bug列表中没有找到，但是实践确实无效，也许是个bug吧。

上面测试用的grep版本是2.5.1.

当然，它还支持很多参数，比如-i忽略大小写，-E进行egrep扩展等等。

Q：经常会遇到，创建一个进程，但是后来想把它关闭，ps -ax命令得到一堆进程，不便于寻找，怎么快速能定位它？

A：同样可以使用上面的grep命令。例如，需要寻找系统是否启动了httpd进程：

Q：有时，需要分析一个生成的可执行文件的内部结构，怎么办？

A：使用otool命令，它异常的强大。它支持很多参数，帮您将可执行文件，也包括中间文件、库等文件的内部展示地一览无余。

Q：我需要查看一个可执行文件的mach头，怎么办？

A：可以使用-h参数。如下，写一个简单的代码,保存为hello.c:

#include <stdio.h>

int main()
{
    int i = 2;
    printf("%d\n", i);
    return 0;
}

使用gcc -o hello hello.c编译得到hello.它将对hello进行分析：

用它和系统的mach header头文件结构对应，就可以得到它的具体含义。同理，使用-l命令可以得到mach-o格式文件的load commands.

Q：我想得到某个可执行文件依赖哪些动态库，怎么办？

A：可以使用otool命令的-L参数即可。同上使用上面的hello文件，

Q：我想知道一个可执行文件它的代码段，怎么办？

A：可以使用otool命令的-t参数。同样使用上面的可执行文件hello,

不过，它是二进制形式的。

Q：怎么才能显示上面的二进制形式的汇编形式代码？

A：可以配合-V命令或者-v命令(二者有一定区别)。

xichenMac:c_simple xichen$ otool -Vt hello
hello:
(__TEXT,__text) section
start:
0000000100000eb0	pushq	$0x00
0000000100000eb2	movq	%rsp,%rbp
0000000100000eb5	andq	$0xf0,%rsp
0000000100000eb9	movq	0x08(%rbp),%rdi
0000000100000ebd	leaq	0x10(%rbp),%rsi
0000000100000ec1	movl	%edi,%edx
0000000100000ec3	addl	$0x01,%edx
0000000100000ec6	shll	$0x03,%edx
0000000100000ec9	addq	%rsi,%rdx
0000000100000ecc	movq	%rdx,%rcx
0000000100000ecf	jmp	0x100000ed5
0000000100000ed1	addq	$0x08,%rcx
0000000100000ed5	cmpq	$0x00,(%rcx)
0000000100000ed9	jne	0x100000ed1
0000000100000edb	addq	$0x08,%rcx
0000000100000edf	callq	_main
0000000100000ee4	movl	%eax,%edi
0000000100000ee6	callq	0x100000f2e	; symbol stub for: _exit
0000000100000eeb	hlt
0000000100000eec	nop
0000000100000eed	nop
0000000100000eee	nop
0000000100000eef	nop
_main:
0000000100000ef0	pushq	%rbp
0000000100000ef1	movq	%rsp,%rbp
0000000100000ef4	subq	$0x10,%rsp
0000000100000ef8	movl	$0x00000002,0xf4(%rbp)
0000000100000eff	movl	0xf4(%rbp),%eax
0000000100000f02	xorb	%cl,%cl
0000000100000f04	leaq	0x00000055(%rip),%rdx
0000000100000f0b	movq	%rdx,%rdi
0000000100000f0e	movl	%eax,%esi
0000000100000f10	movb	%cl,%al
0000000100000f12	callq	0x100000f34	; symbol stub for: _printf
0000000100000f17	movl	$0x00000000,0xf8(%rbp)
0000000100000f1e	movl	0xf8(%rbp),%eax
0000000100000f21	movl	%eax,0xfc(%rbp)
0000000100000f24	movl	0xfc(%rbp),%eax
0000000100000f27	addq	$0x10,%rsp
0000000100000f2b	popq	%rbp
0000000100000f2c	ret
xichenMac:c_simple xichen$

可以看到，对应的汇编已经出来了。

Q：我想查看__TEXT段的字符串字面量，怎么查看？

A：可以使用-sv __TEXT __cstring参数来得到。修改hello.c, 如下：

#include <stdio.h>

int g_i = 0xAA;
const int g_j = 0xBB;
char *str = "hello";

int main()
{
    int i = 2;
    printf("%d\n", i);
    return 0;
}

编译成hello.

可以看到,全局的str对应的hello\0和printf输出的%d\n\0字符串被显示了

Q：我想查看数据区__DATA里面的数据(__data),怎么办？

A：可以使用-sv __DATA __data参数来得到。使用上面的hello,

可以看到前4个字节对应的全局变量g_i在此被显示。如果使用otool -d hello会查看hello的__DATA区的数据。

Q：我想查看全局const变量g_i对应的数据，怎么查看？

A：可以使用-sv __TEXT __const参数来查看。

可以看到0xBB变量的数据在此展示了。

Q：我只想查看某个函数的汇编形式，怎么办？

A：可以使用-p参数来指定查看的函数。如下：

上面查看了hello中的main函数的汇编形式(注意，虽然代码中是main函数，但是在可执行文件的符号表中，可能会被改变，这依赖编译器).

Q：有的可执行文件支持不止一种硬件架构的代码，如何查看包含哪些？

A：可以使用file命令查看。如上，查看上面的hello文件的信息：

可以看到它是64位运行于x64平台上的可执行文件。

Q：如何编译得到一个可执行文件，它是通用的，可以包含几种架构代码的？

A：使用gcc的-arch参数功能来实现。依然使用上面的hello.c代码：

再运行file命令：

可以看到，文件包含了两种架构体系代码。

Q：看到很多逆向工具，可以修改特定的目标文件实现特定的目的，是否可以修改hello文件来得到希望的执行效果？

A：是的。我并不善于修改汇编代码，我们可以修改数据段来查看效果。

修改上面的hello.c代码如下：

#include <stdio.h>

int g_i = 0xAA;
const int g_j = 0xBB;
char *str = "hello";

int main()
{
    int i = 2;
    printf("%s %d\n", str, i);
    return 0;
}

编译成hello.并查看执行效果：