Question

我一整天都在尝试让它发挥作用。有谁知道如何获取grep或类似的东西来检索文件中的十六进制字符串的偏移量？

我有一堆hexdumps我需要检查字符串然后再次运行并检查值是否已更改。

我尝试过hexdump和dd，但问题是因为它是一个流，我丢失了文件的偏移量。

有人必须遇到此问题并采取解决方法。我该怎么办？

为了澄清，我有一系列来自GDB的转储内存区域。

我试图通过搜索存储号码的所有位置缩小数字，然后再次执行并检查新值是否存储在同一存储位置。

我无法做grep做任何事情，因为我正在寻找十六进制值，所以我一直尝试过（就像一个bazillion，大致）它不会给我正确的输出。

十六进制转储只是完整的二进制文件，paterns在浮动值范围内大到8个？字节？

模式并没有包裹我所知道的线条。我知道它改变了什么，我可以做同样的过程并比较列表以查看哪个匹配。十六进制转储通常最终（总共）100兆 - 。

Perl可能是一个选择，但在这一点上，我认为我对bash及其工具缺乏了解是罪魁祸首。

我有点难以解释我得到的输出，因为我真的没有得到任何输出..

我期待（和期待）类似的东西：

<offset>:<searched value>

我通常会使用grep -URbFo <searchterm> . > <output>

获得非常好的标准输出

问题是，当我尝试搜索十六进制值时，我遇到的问题是，如果只是不搜索十六进制值，所以如果我搜索00，我应该得到一百万次点击，因为那总是空白空间，但是而是搜索00作为文本，所以在十六进制中，3030。有什么想法吗？

我可以强制它通过hexdump或链接的某些东西，但因为它的流不会给我它找到匹配的偏移量和文件名。

使用grep -b选项似乎也不起作用，我确实尝试了所有对我的情况有用的标志，但没有任何效果。

以xxd -u /usr/bin/xxd为例，我得到一个有用的输出，但我不能用它来搜索..

0004760: 73CC 6446 161E 266A 3140 5E79 4D37 FDC6  s.dF..&j1@^yM7..
0004770: BF04 0E34 A44E 5BE7 229F 9EEF 5F4F DFFA  ...4.N[."..._O..
0004780: FADE 0C01 0000 000C 0000 0000 0000 0000  ................

很好的输出，就像我看到的那样，但在这种情况下它对我来说不起作用..

这是我发布以来我尝试过的一些事情：

xxd -u /usr/bin/xxd | grep 'DF'
00017b0: 4010 8D05 0DFF FF0A 0300 53E3 0610 A003  @.........S.....

root# grep -ibH "df" /usr/bin/xxd
Binary file /usr/bin/xxd matches
xxd -u /usr/bin/xxd | grep -H 'DF'
(standard input):00017b0: 4010 8D05 0DFF FF0A 0300 53E3 0610 A003  @.........S.....

Answer 1

这似乎对我有用：

grep --only-matching --byte-offset --binary --text --perl-regexp "<\x-hex pattern>" <file>

简短形式：

grep -obUaP "<\x-hex pattern>" <file>

示例：

grep -obUaP "\x01\x02" /bin/grep

输出（cygwin二进制）：

153: <\x01\x02>
33210: <\x01\x02>
53453: <\x01\x02>

所以你可以再次grep这个来提取偏移量。但是别忘了再次使用二进制模式。

Answer 2

在达成可接受的解决方案之前，我们尝试了几件事：

xxd -u /usr/bin/xxd | grep 'DF'
00017b0: 4010 8D05 0DFF FF0A 0300 53E3 0610 A003  @.........S.....


root# grep -ibH "df" /usr/bin/xxd
Binary file /usr/bin/xxd matches
xxd -u /usr/bin/xxd | grep -H 'DF'
(standard input):00017b0: 4010 8D05 0DFF FF0A 0300 53E3 0610 A003  @.........S.....

然后发现我们可以用

获得可用的结果

xxd -u /usr/bin/xxd > /tmp/xxd.hex ; grep -H 'DF' /tmp/xxd

请注意，使用像'DF'这样的简单搜索目标将错误地匹配跨越字节边界的字符，即

xxd -u /usr/bin/xxd | grep 'DF'
00017b0: 4010 8D05 0DFF FF0A 0300 53E3 0610 A003  @.........S.....
--------------------^^

因此我们使用ORed正则表达式搜索'DF'或'DF'（searchTarget前面或后跟空格char）。

最终结果似乎是

xxd -u -ps -c 10000000000 DumpFile > DumpFile.hex
egrep ' DF|DF ' Dumpfile.hex

0001020: 0089 0424 8D95 D8F5 FFFF 89F0 E8DF F6FF  ...$............
-----------------------------------------^^
0001220: 0C24 E871 0B00 0083 F8FF 89C3 0F84 DF03  .$.q............
--------------------------------------------^^

Answer 3

还有一个非常方便的工具，名为binwalk，用python编写，提供二进制模式匹配（除此之外还有很多）。以下是搜索二进制字符串的方法，该字符串输出十进制和十六进制的偏移量（来自docs）：

$ binwalk -R "\x00\x01\x02\x03\x04" firmware.bin
DECIMAL     HEX         DESCRIPTION
--------------------------------------------------------------------------
377654      0x5C336     Raw string signature

Answer 4

grep有一个允许使用perl regexp语法的-P开关 perl正则表达式允许使用\ x ..语法来查看字节。

因此您可以在文件中查找给定的十六进制字符串：grep -aP "\xdf"

但是外面不会很有用;确实最好在hexdump输出上做一个正则表达式;

grep -P可以用于查找指定给定二进制模式的文件。或者对文本中实际发生的模式进行二进制查询（参见例如How to regexp CJK ideographs (in utf-8)）

Answer 5

如果要搜索可打印字符串，可以使用：

strings -ao filename | grep string

字符串将从具有偏移的二进制文件中输出所有可打印的字符串，grep将在其中进行搜索。

如果您想搜索任何二进制字符串，这是您的朋友：

https://github.com/tmbinc/bgrep

Answer 6

我刚用过这个：

grep -c $'\x0c' filename

搜索并计算文件中的页面控制字符..

所以在输出中包含一个偏移量：

grep -b -o $'\x0c' filename | less

我只是将结果传递给较少的因为我正在努力的角色不能很好地打印出来，而且结果显示得很干净。输出示例：

21:^L
23:^L
2005:^L

使用grep搜索文件中的十六进制字符串

6 个答案: