첫 번째 시도, IF known_string WAS는 일반 텍스트로 저장됩니다 (사례는 아님)

나는 당신이 사용해 볼 수 있다고 생각합니다

grep -Ubo --binary-files=text "known_substring" sleepimage

이로부터 -U 매개 변수는 2 진 파일에 대한 검색을 지정하고 -b는 일치하는 부분에 대한 바이트 단위 오프셋을 표시하도록 지정하고 마지막으로 -o는 일치하는 부분 만 인쇄하도록 지정합니다.

그것이 효과가 있다면, 그 지역에 도달하기 위해 바이트 단위의 오프셋을 알 수 있지만, 어떻게 진행하는지 정확히 알 수는 없습니다. 파일 유형에 따라 해당 오프셋 근처의 파일 유형 서명을 확인하고 해당 파일의 일부를 구성하는 바이트 만 분리하려고 시도 할 수 있습니다. 이를 위해 C 프로그램을 작성하거나 hexdump -s known_offset sleepimage필요한 파일과 관련된 바이트 만 가져 와서 시도 할 수 있습니다.

예를 들어 Chrome에 대해 알고 싶은 경우가 있습니다.

$ sudo grep -Ubo --binary-files=text -i "chrome" sleepimage
3775011731:chrome

바이트 오프셋 3775011731에서 크롬이 발생했다는 것을 알고 있습니다.

$ sudo hexdump -s 3775011731 sleepimage | head -n 3
e1021b93 09 09 3c 73 74 72 69 6e 67 3e 2e 63 68 72 6f 6d
e1021ba3 65 2e 67 6f 6f 67 6c 65 2e 63 6f 6d 3c 2f 73 74
e1021bb3 72 69 6e 67 3e 0a 09 09 3c 6b 65 79 3e 45 78 70

까다로운 부분은 원하는 바이트 만 얻는 것입니다. 파일 유형에 알려진 헤더가있는 경우 16 진 덤프 오프셋에서 헤더 크기를 바이트 단위로 뺄 수 있으므로 “처음부터”파일을 얻을 수 있습니다. 파일 유형에 알려진 “EOF”서명이있는 경우 해당 파일 유형도 검색하여 해당 지점까지의 바이트 만 가져올 수 있습니다.

파일 형식이 무엇입니까? 이와 같은 절차가 귀하의 경우에 사용될 수 있다고 생각하십니까? 나는 이것을 전에 한 번도 해 본 적이 없으며, 많은 “추측”에 기초하고 있지만, 이와 같은 것이 효과가 약간 있다고 생각합니다 ..

두 번째 시도, 모든 바이트를 구문 분석하는 느린 방법

이전의 방법은 평범한 텍스트 만 검색하기 때문에 작동하지 않습니다. 내기. 이 두 번째 텍스트를 위해 다음을 포함하는 간단한 C 프로그램을 만들었습니다.

#include <stdio.h>

int main () {
  printf("assim");
  return 0;
}

그래서 나는 당신의 known_string 인 “assim”을 그 텍스트에서 검색 할 수 있습니다. 검색 할 바이트를 알기 위해 다음을 수행했습니다.

$ echo -n "assim" | hexdump
0000000 61 73 73 69 6d
0000005

따라서 “61 73 73 69 6d”를 찾아야합니다. 그 간단한 C 소스를 프로그램 “tt”로 컴파일 한 후 다음을 수행했습니다.

hexdump -v -e '/1 "%02X\n"' tt | # format output for hexdump of file tt
    pcregrep -M --color -A 3 -B 3 "61\n73\n73\n69\n6D" # get 3 bytes A-fter and 3 bytes B-fore the occurence

어느 것이 나에게 돌아 왔는지 :

그런 식으로하면 데이터를 얻을 수 있다고 생각합니다. 2 ~ 8GB 바이트를 구문 분석하는 것이 느릴 것입니다 …

이 방법에서는 소문자가 아닌 대문자 (마지막 grep에 6d 대신 6D 쓰기)로 16 진수를 찾고 공백 대신 \ n을 사용해야합니다. 따라서 -A와-를 사용할 수 있습니다. grep의 경우 B)). grep -i대소 문자를 구분하지 않도록 사용할 수 있지만 조금 느려집니다. 따라서 이것이 사용되는 경우 자본을 사용하십시오.

또는 전체 자동화 된 “스크립트”를 원하는 경우 :

FILENAME=tt # file to parse looking for string
BEFORE=3 # bytes before occurrence
AFER=3 # bytes after occurrence
KNOWNSTRING="assim" # string to search for

ks_bytes="$(echo -n "$KNOWNSTRING" | hexdump | head -n1 | cut -d " " -f2- | tr '[:lower:]' '[:upper:]' | sed -e 's/ *$//g' -e 's/ /\\n/g')"

hexdump -v -e '/1 "%02X\n"' $FILENAME | pcregrep -M --color -A $AFER -B $BEFORE $ks_bytes

답변