在二进制文件中查找模式

Question

我正在用 C 开发一个小项目，我必须解析未记录文件格式的二进制文件。由于我对 CI 很陌生，所以有两个问题想问一些更有经验的程序员。

第一个似乎很简单。如何从二进制文件中提取所有字符串并将它们放入数组中？基本上，我正在寻找 C 语言中 strings 程序的简单实现。

当我在任何文本编辑器中打开二进制文件时，我会得到很多垃圾，其中混有一些可读的字符串。我可以使用以下命令提取这些字符串命令行中的字符串。现在我想在 C 中做类似的事情，就像下面的伪代码一样：

while (!EOF) {
     if (string found) {
          put it into array[i]
          i++
       }
     return i;
}

第二个问题有点复杂，我相信这是实现相同目标的正确方法。当我在十六进制编辑器中查看该文件时，很容易注意到一些模式。例如，在每个字符串之前有一个字节值 02 (0x02)，后跟字符串的长度和字符串本身。例如 02 18 52 4F 4F 54 4B 69 57 69 4B 61 4B 69 是一个字符串，字符串部分以粗体显示。

现在我尝试创建的函数将像这样工作：

while(!EOF) {
     for(i=0; i<buffer_size; ++i) {
          if(buffer[i] hex value == 02) {
               int n = read the next byte;
               string = read the next n bytes as char;
               put string into array;
          }
     }
}

感谢您的任何指示。 :)

Answer 1

第一个似乎很简单。如何从二进制文件中提取所有字符串并将它们放入数组中？

找出代表可打印 ASCII 字符的字符范围。遍历文件，检查字符是否为 ASCII 字符，并对相邻的 ASCII 字符进行计数。默认情况下，strings 会将四个或更多字符的序列视为字符串；当找到下一个非ASCII字符时，检查是否超出了数量；如果有，则输出字符串。一些簿记是必要的。

第二个问题有点复杂，我相信这是实现同样目标的正确方法。

您的伪代码基本上是正确的。您可以手动将 buffer[i] 的内容与整数（例如 2）进行比较。读取一个字节就像递增i一样简单。确保没有超出缓冲区，并确保读取字符串的数组足够大（如果大小参数只有一个字节，则可以使用 255 长度的数组缓冲区。）

Answer 2

我不确定您的解决方案是否有效：如果您找到长度为 350 个字符的字符串怎么办？
数字可以是字符串的一部分，或者您可以认为它们是“垃圾”？

我认为最安全的方法是

1. 定义您认为的字符串和您认为的“垃圾” - 例如“：，！？”是“字符串”还是“垃圾”？
2. 定义被视为“可读”字符串的最小字符串长度
3. 解析文件，查找长度 >= 最小值的每组字符。
   我知道，这很无聊，但我认为这是唯一安全的方法。祝你好运！