[TOOL] hexdump: 二进制文件阅读指南

DeepSeek生成（2025年10月29日22:03:39）

目录

• Hexdump 二进制文件阅读指南
  • 1. 什么是 Hexdump？
    • 为什么需要 Hexdump？
  • 2. 基础语法
  • 3. 常用选项详解
    • 基本显示格式
    • 输出示例解析
  • 4. 分析 TS 文件的实战技巧
    • 4.1 查找 TS 包同步字节
    • 4.2 验证 TS 包结构
    • 4.3 高级分析技巧
      • 查找特定模式
      • 结合其他工具
  • 5. 实际案例：分析MPEG-TS文件
    • 步骤1：快速检查文件类型
    • 步骤2：验证包同步
    • 步骤3：分析节目信息
  • 6. 实用脚本示例
    • 脚本1：TS包完整性检查
    • 脚本2：查找特定PID的包
  • 7. 常见问题排查
    • 问题1：找不到同步字节
    • 问题2：包大小不是188字节

Hexdump 二进制文件阅读指南

1. 什么是 Hexdump？

Hexdump 是一个命令行工具，用于以十六进制格式显示文件内容。它就像文件的"X光机"，可以查看任何文件的原始二进制数据。

为什么需要 Hexdump？

• 分析二进制文件格式
• 调试网络数据包
• 查看文件结构
• 查找特定数据模式
• 逆向工程

2. 基础语法

hexdump [选项] 文件名

3. 常用选项详解

基本显示格式

# 默认格式（十六进制 + ASCII）
hexdump input.ts# 只显示十六进制
hexdump -C input.ts# 经典格式（推荐！）
hexdump -C input.ts | head -20

输出示例解析

00000000  47 40 00 10 00 00 b0 0d  00 01 c1 00 00 00 01 f0  |G@..............|
00000010  00 2a b1 04 89 47 40 00  10 00 00 b0 0d 00 01 c1  |.*...G@.........|

• 左边: 文件偏移量（字节位置）
• 中间: 十六进制数据（每字节两个字符）
• 右边: ASCII 字符显示（不可见字符显示为.）

4. 分析 TS 文件的实战技巧

4.1 查找 TS 包同步字节

TS文件以 0x47 字节开头每个188字节包

# 方法1：直接查找47字节
hexdump -C input.ts | grep " 47"# 方法2：显示包含47的行及其前后内容
hexdump -C input.ts | grep -A 2 -B 2 " 47"# 方法3：统计47字节出现的规律
hexdump -C input.ts | grep " 47" | head -10

4.2 验证 TS 包结构

# 查看文件开头，确认TS包结构
hexdump -C input.ts | head -5# 检查包大小是否为188字节
hexdump -C input.ts | grep "^000000b0"  # 查看188字节(0xBC)位置

4.3 高级分析技巧

查找特定模式

# 查找PAT（Program Association Table）
hexdump -C input.ts | grep " 00 00 b0"# 查找PMT（Program Map Table）
hexdump -C input.ts | grep " 02 b0"

结合其他工具

# 使用xxd替代hexdump
xxd input.ts | grep "47"# 使用strings查找可读文本
strings input.ts | head -10# 结合awk进行复杂分析
hexdump -C input.ts | awk '/ 47/ {print $1}'

5. 实际案例：分析MPEG-TS文件

步骤1：快速检查文件类型

# 查看文件开头确认是TS流
hexdump -C input.ts | head -3

期望看到：

00000000  47 40 00 10 00 00 b0 0d  00 01 c1 00 00 00 01 f0  |G@..............|
00000010  47 50 00 10 00 02 b0 17  00 01 c1 00 00 e1 01 f0  |GP..............|

步骤2：验证包同步

# 检查每隔188字节是否有0x47
hexdump -C input.ts | awk '{print $1, $2}' | grep "47" | head -10

步骤3：分析节目信息

# 查找节目关联表(PAT)
hexdump -C input.ts | grep "00 00 b0 0d"

6. 实用脚本示例

脚本1：TS包完整性检查

#!/bin/bash
# ts_checker.shFILE=$1
echo "分析文件: $FILE"
echo "文件大小: $(wc -c < "$FILE") 字节"# 统计47字节出现的次数
SYNC_COUNT=$(hexdump -v -e '/1 "%02X\n"' "$FILE" | grep -c "47")
echo "同步字节(0x47)出现次数: $SYNC_COUNT"# 计算预期的包数量
EXPECTED_PACKETS=$(( $(wc -c < "$FILE") / 188 ))
echo "预期的TS包数量: $EXPECTED_PACKETS"
echo "实际同步字节数量: $SYNC_COUNT"

脚本2：查找特定PID的包

#!/bin/bash
# find_pid.shFILE=$1
PID=$2  # 例如: 0x100echo "查找PID: $PID 的包"
hexdump -C "$FILE" | grep "47.*$PID"

7. 常见问题排查

问题1：找不到同步字节

# 可能文件损坏或不是TS格式
hexdump -C input.ts | head -1
# 如果第一个字节不是47，可能不是有效的TS文件

问题2：包大小不是188字节

# 检查第二个包的位置
hexdump -C input.ts | grep -n " 47" | head -5
# 应该看到位置: 1, 189(0xBD), 377(0x179)...