悠悠楠杉
网站页面
深入解析二进制文件：hexdump十六进制查看技巧
08/26
为什么需要查看二进制文件？
在软件开发、逆向工程或系统调试过程中，我们经常需要直接查看文件的原始二进制内容。文本文件可以用cat、vim等工具直接查看，但遇到可执行程序、图片、数据库等二进制文件时，常规文本编辑器会显示乱码。这时就需要hexdump这样的专业工具，将二进制数据转换为可读的十六进制格式。
hexdump基础用法
1. 基本查看命令
bash
hexdump -C filename
-C参数（Canonical格式）是最常用的选项，输出包含：
- 左侧的偏移量（文件起始位置）
- 中间的16字节十六进制数据
- 右侧对应的ASCII字符（不可见字符显示为点）
示例输出：
00000000 7f 45 4c 46 02 01 01 00 00 00 00 00 00 00 00 00 |.ELF............|
00000010 02 00 3e 00 01 00 00 00 a0 23 40 00 00 00 00 00 |..>......#@.....|
2. 控制显示长度
bash
hexdump -C -n 256 filename # 仅显示前256字节
hexdump -C -s 512 filename # 从512字节处开始显示
高级参数详解
1. 自定义格式输出
bash
hexdump -e '16/1 "%02x " " | "' -e '16/1 "%_p" "\n"' file
这个复杂格式指定：
- 每16个字节显示为2位十六进制数
- 接着显示ASCII字符表示
- %_p会将不可打印字符显示为点
2. 多格式组合查看
bash
hexdump -n 64 -e '"Offset: " 8/1 "%08x " "\n"' -e '8/1 "%02x " "\n"' file
这种组合格式适合特定场景分析，比如查看文件头结构。
实际应用场景
1. 分析文件签名（Magic Number）
通过查看文件头部特征判断文件类型：
bash
hexdump -C -n 8 image.jpg
典型的JPEG文件会显示FF D8 FF E0开头。
2. 检查文件损坏
当文件无法正常打开时，用hexdump检查关键位置数据：
bash
hexdump -C -s 1024 -n 128 corrupt.zip
3. 逆向工程分析
在分析二进制协议或文件格式时，配合xxd工具进行修改：
bash
hexdump -C binary | grep "89 50 4e 47" # 查找PNG签名
hexdump与其他工具对比
| 工具 | 特点 | 适用场景 |
|------------|-----------------------|-----------------------|
| hexdump | 格式灵活，支持自定义 | 需要精确控制输出格式 |
| xxd | 自带回写功能 | 需要编辑二进制文件 |
| od | 支持多种进制显示 | 需要八进制/十进制查看 |
| bless | 图形化界面 | 可视化分析 |
专业技巧与注意事项
结合grep过滤：
bash hexdump -C file | grep -A 10 -B 10 "search_pattern"查看大文件时：
bash hexdump -C largefile | less网络数据包分析：
bash tcpdump -w capture.pcap hexdump -C capture.pcap | head -50字符编码问题：
当文件包含UTF-8等多字节字符时，建议配合iconv转换编码后再分析。
通过掌握hexdump的这些技巧，您将能像专业工程师一样深入分析文件底层结构。记住，理解二进制数据是成为高级开发者的重要阶梯，而hexdump就是打开这扇大门的钥匙。实际工作中建议将这些命令保存为脚本或别名，可以显著提高分析效率。
