Linux下hexdump查看二进制常用方法

本文深入解析了Linux下hexdump命令查看二进制文件的常见误区与高效用法，直击默认输出难懂的核心原因——无偏移地址、大端序显示及16字节/行的隐式布局，并强力推荐以`hexdump -C`作为实用起点；同时系统梳理了按整数单位（2/4字节）解读数据的正确姿势（如`-x`小端 vs `-X`大端）、灵活定制输出格式的`-e`高级技巧，以及与xxd、od的关键差异和跨平台兼容性陷阱，帮助读者避开字节序误读、偏移错位等高频坑点，真正实现精准、可靠、可复现的二进制分析。

hexdump 默认输出为什么看不懂？

因为 hexdump 默认用十六进制+ASCII混合格式，但每行显示 16 字节，高位字节在前（big-endian），且不带偏移地址列——导致你找不到某段数据在文件中的位置，也容易把多字节整数（比如 0x12345678）误读成四个独立字节。

真正实用的起点是加 -C 参数：它等价于 xxd -g1 风格，输出带偏移、十六进制、ASCII 三栏，字节顺序直观，适合人工查数据。

• hexdump -C file.bin：最常用，偏移为 8 位十六进制，每行 16 字节，00000000 开头表示第 0 字节
• 注意：默认不处理文件末尾不足一行的部分，会补 00 并显示 * 行（表示重复上一行内容），这不是真实数据
• 如果文件含控制字符（如 \x00、\x0a），ASCII 栏对应位置显示 .，不是空格

想按 2 字节/4 字节整数查看？用 -s 和 -n 控制范围 + -x/-X

-x 把每 2 字节当一个 unsigned short（小端序），-X 是大端序；-d 对应有符号 short，-D 是大端有符号。它们会自动跳过非对齐字节（比如文件长度为奇数时，最后一字节被忽略）。

• hexdump -x file.bin：每行 8 个 2 字节整数，输出形如 0012 3456 789a bcde ...，注意这是小端解释 —— 实际字节流 12 00 56 34 会被显示为 0012 3456
• 若需从偏移 0x100 开始读 32 字节：hexdump -x -s 0x100 -n 32 file.bin
• 常见坑：-x 不等于 “每两个字节转成 hex”，而是“把两个字节当一个小端整数再转成 4 位 hex”，所以 01 00 → 0001，不是 0100

需要类 od 的灵活格式？直接换 -f 指定 format string

hexdump 支持 -f 加自定义格式文件，但更常用的是内置简写：-c（字符）、-d（有符号十进制 short）、-i（有符号 int）、-e（自定义表达式）。其中 -e 最灵活，但语法略硬核。

• hexdump -e '8/1 "%02x " "\n"' file.bin：每行 8 字节，十六进制，补零两位，空格分隔
• hexdump -e '"offset " 4/1 "%02x" " = " 4/1 "%c" "\n"' file.bin：手动拼偏移+字节+对应 ASCII，适合调试协议头
• 注意：-e 中的 4/1 表示“重复 4 次，每次读 1 字节”，不是“读 4 字节”；"%02x" 是 printf 风格，不支持 %04x 直接对 2 字节字段补零（得用 -x 或 -e '1/2 "%04x"'）

和 xxd、od 比较时要注意什么？

hexdump 在不同系统上行为可能不一致（尤其是 BSD vs GNU），而 xxd 更稳定、默认带列对齐，od 更适合数值批量解析。但如果你只能用 hexdump（比如嵌入式 busybox 环境），记住这几个关键差异：

• hexdump -C 输出偏移是 8 位（00000000），xxd 默认也是，但 od -Ax 默认是 7 位（0000000），少一位容易看错位置
• hexdump -x 固定小端，od -x 默认小端，但 od -X 是大端 —— 名称逻辑和 hexdump 相反，容易混淆
• GNU hexdump 支持 -v（禁用 * 压缩行），BSD 版本不支持，脚本中若依赖此行为需先 hexdump --version 判断

偏移地址和字节序这两点，几乎每次用错都是因为没确认清楚当前命令实际怎么解释字节 —— 尤其是分析网络包或固件镜像时，差一个字节就全盘错乱。

本篇关于《Linux下hexdump查看二进制常用方法》的介绍就到此结束啦，但是学无止境，想要了解学习更多关于文章的相关知识，请关注golang学习网公众号！