快速上手
最后更新于
这有帮助吗？
Radare2的学习曲线在开始时比较陡峭，使用一个小时后您应该会比较理解radare2中大部分工具的原理，以及如何结合这些工具。您可以通过本书的其他部分了解一些radare2的高级特性，最终提高实践技能。
定位，检查，和修改已加载的二进制文件，通常对应着三个文件操作：seek（定位到具体位置）， print（缓存）， 和alternate（写入和添加）
"seek"命令缩写为 s，接受一个表达式作为参数。这个表达式可以是10, +0x25, 或者类似[0x100+ptr_table]的形式。如果你的分析对象是基于块的文件，可以用b对块的大小进行设置，以符合需求。可以用s++和s--在遵循对齐规则的情况下向前向后遍历文件块。
如果radare2打开的是一个可执行文件，那么默认情况下它将会以虚拟地址（VA）的模式打开它，文件中的节区都会被映射到对应的虚拟地址。在VA模式下，seek是基于VA地址完成的，且起始点将会设置在程序入口点（EP）上。使用 -n选项可禁用默认的VA模式，并要求radare2以non-VA模式打开文件，在non-VA模式下， seek操作是基于文件偏移量完成的。
‘print’命令缩写为p， 有许多子模块， 后继的第一个字母将设定print的模式。最常用的包括用于打印十六进制格式的px， 以及用于打印反汇编结果的pd。
如果要对文件进行修改， 需要在radare2打开文件时制定-w选项。w命令可用于写入字符串、十六进制字节串（x子命令），甚至是汇编码（a子命令），例如：
在命令后面加上？会显示帮助信息，举个例子：p?。 在命令后面加上 ?* 会显示所有以该命令字符串开头的命令， 比如 p?*。
如要进入可视化模式（visual mode），按下V<Enter>，按下q可以退出可视化模式，返回命令行界面。
在可视化模式内可以用HJKL进行移动（分别代表left，down，up，right）。可以按下c键进入光标模式（cursor mode）显示光标，并用HJKL进行移动。在光标模式下，按住SHIFT键，配合HJKL可以选中一个区域内的字节。
在可视化模式下，可以按下i覆写字节，可以用TAB在十六进制字节区与字符串区之间切换。处于十六进制字节区时按下q可以返回到可视化模式。通过p和P两个按键，可以在不同的可视化模式中切换。通过V!可以进入一个类似curses面板的可视化模式，它是另一个重要的可视化模式。