1

我正在尝试通过在 Linux 上使用 binfmt_misc 来注册一个特定的程序来运行包含幻数的二进制文件。

这是通过以以下格式回显字符串来完成的：

:name:type:offset:magic:mask:interpreter:flags

Linux 内核文档在 Documentation/binfmt_misc 中提供了该字符串的一些示例：

:i386:M::\x7fELF\x01\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x02\x00\x03:\xff\xff\xff\xff\xff\xfe\xfe\xff\xff\xff\xff\xff\xff\xff\xff\xff\xfb\xff\xff:/bin/em86:
:i486:M::\x7fELF\x01\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x02\x00\x06:\xff\xff\xff\xff\xff\xfe\xfe\xff\xff\xff\xff\xff\xff\xff\xff\xff\xfb\xff\xff:/bin/em86:
:DEXE:M::\x0eDEX::/usr/bin/dosexec:
:DOSWin:M::MZ::/usr/local/bin/wine:

我感兴趣的幻数显示为01ebemacs 的 hexl-mode：

00000000: 0000 01eb 0000 4d8f 0000 09a0 0000 0314  ......M.........

到目前为止，我有：

:nine:M:$OFFSET:$MAGIC::/home/robb/nine/nine:

但我不确定我需要替换$OFFSET和$MMAGIC使用哪些值。

4

1 回答 1

1

它从文件中的第 3 个字节开始。字节偏移量从零开始，所以$OFFSET应该是 2。

您01eb需要以十六进制编码$MAGIC，\x01\xeb. 您的 shell 可能需要在 every 之前添加一个额外的反斜杠才能\x转义它。

于 2011-08-01T20:02:46.367 回答