vim编辑修改二进制文件以及对于二进制文件中幻数测试

Posted 2022-11-28 想考北航的小刺猬

vim编辑修改二进制文件以及对于二进制文件中幻数测试

这篇博客将讲述我在学习反汇编时遇到的关于编辑二进制文件的问题。
编辑环境：Ubuntu + vim

我测试的文件是一个可执行文件，也就是通过c程序编译之后生成的，这里附上我测试的时候使用的程序代码：

//assert.c
//代码出自《C primer plus》
#include <stdio.h>
#include <assert.h>
#include <math.h>

int main()
	double x, y, z;
	puts("Enter a pair of numbers (0 0 to quit):");
	while(scanf("%lf%lf", &x, &y) == 2 && (x != 0 || y != 0))
		z = x * x - y * y;
		assert(z >= 0);
		printf("answer is %f\\n", sqrt(z));
		puts("Next pair of numbers: ");
	
	puts("Done");
	return 0;

使用如下命令进行编译，这里的“-lm”是因为需要链接数学库，否则会报错undefine：

gcc assert.c -o a -lm
gcc assert.c -o assert -lm

分别执行上述两条命令后可以产生a和assert两个文件(这里为什么要生成两个一样的文件在后文有解释)
这里我们使用file命令查看一下文件的类型，为FLE类型：

file assert

随后，使用vim打开assert文件，这里的-b表示打开的是二进制文件：

vim -b assert.c

在vim中开启命令模式，通过如下命令，可以以十六进制形式显示：

%!xxd

测试：将ELF幻数替换为MS-DOS的可执行文件幻数，即4d5a

这里我演示一下我曾经犯过的错误，在修改结束后我直接wq关闭文件，这时候我使用file命令查看文件的类型，得到了如下的内容：

也就是 assert:ASCII text，并不是我想要的MS-DOS内容，为了测试这种编辑操作是否会对原本的文件产生影响，我们再使用上述方式将assert文件的前两个字节改回到7f45，wq保存。
这时用到a文件，将a文件和改回原内容的assert文件进行比较：

cmp a assert

使用上述命令之后可以看到两个文件并不一样，也就说明直接更改是不行的

这时可能意识到命令使用错误，经过一番查找，在使用%!xxd命令进行更改二进制文件后，需要使用%!xxd -r命令进行还原（在vim命令模式下输入），否则会造成错误：

%!xxd -r

再次使用上述更改步骤，可以得到正确的结果，可以看到assert文件被更改为MS-DOS文件：

总结：
上述的内容是我个人在遇到问题时候的解决过程，供大家避雷，总结下来也就是几条命令的事：

vim -b xxx(文件名)
%!xxd 
%!xxd -r

这里附加几个幻数，供大家测试：
complied Java class： cafe babe
MS-DOS executable： 4d5a
JPEG： 这里面需要改固定的几个位置，第1，2字节改为ffd8，7，8，9，10字节改为4a，46，49，46，其他字节不需要修改，任何都可以。