У меня есть бинарный файл. Я не знаю, как он отформатирован, я знаю только, что он исходит из кода Delphi.
Существует ли способ анализа двоичного файла?
Существует ли какой-либо «шаблон» для анализа и десериализации двоичного содержимого файла неизвестного формата?
Попробуйте это:
Для моего хобби-проекта мне пришлось реконструировать некоторые старые игровые файлы. Мои подходы были:
Я разработал Hexinator (для Windows и Linux) и Synalyze It! (macOS) именно для этой цели. Эти приложения позволяют вам просматривать двоичные файлы, как и в других шестнадцатеричных редакторах, но дополнительно вы можете создавать «грамматику» с особенностями формата двоичных файлов. Грамматика содержит все строительные блоки и используется для автоматического анализа файла.
Таким образом, вы можете сохранить знания, полученные при анализе, и применить их к нескольким файлам одновременно. Вы также можете раскрасить фрагменты форматов файлов для быстрого обзора в шестнадцатеричном редакторе. 
Результаты синтаксического анализа отображаются в виде дерева, где вы также можете легко изменять файлы (применяя порядок следования байтов и так далее).
Обратное проектирование двоичного файла, когда у вас есть некоторое представление о том, что он представляет, является очень трудоемким процессом. Если вы понятия не имеете, что это такое, то это будет еще сложнее.
Хотя это возможно, но у вас должна быть очень веская причина для этого.
Первым шагом было бы открыть его в шестнадцатеричном редакторе по вашему выбору и посмотреть, сможете ли вы найти какой-либо текст на английском языке, который укажет вам направление того, что файл вообще должен представлять. Оттуда погуглите "Обратное проектирование бинарных файлов", там есть гораздо более знающие люди, чем я, которые написали гайды по этому поводу.
Программа "strings" из GNU binutils очень полезна. Он будет печатать строки печатных символов в файле, довольно часто давая ключ к тому, что файл содержит или делает программа.
Если данные представляют собой сериализованные объекты Delphi, вам следует начать читать о процессе сериализации Delphi. Если это так, я думаю, вам лучше всего загрузить его с помощью Delphi и продолжить анализ из IDE. Некоторую информацию о сериализации Delphi можно найти здесь.
РЕДАКТИРОВАТЬ: если файл содержит сериализованные объекты delphi, вам следует написать небольшую программу delphi, которая загружает его, и самостоятельно «конвертировать» данные во что-то нейтральное, например xml. Если вам удастся это сделать, вы должны проверить и посмотреть, поддерживает ли delphi сериализацию в xml. Затем вы можете получить доступ к этим объектам с любого языка.
Команда unix «file» действительно полезна — я не знаю, есть ли что-то подобное в Windows. Вы запускаете это так:
file myfile.ext
И он выдает текстовое описание, основанное на магических числах и содержащихся в нем данных.
Вероятно, он содержится в cygwin.
Если у вас есть доступ к приложению, которое создает файл, вы можете применить изменения к приложению, затем сохранить файл и просмотреть результаты (имейте в виду, что числа, вероятно, хранятся в little endian):
Чтобы проверить гипотезы, которые вы разработали с помощью описанных выше шагов, отредактируйте один из файлов и дайте приложению прочитать его.
Если у вас нет доступа к самому приложению, предлагаю забыть о нем и найти другой способ решения вашей проблемы. Есть очень большая вероятность, что это будет быстрее...
Если file не дает осмысленного ответа, вы можете попробовать TRiD Марко Понтелло. чтобы определить, хранятся ли ваши данные в известном формате.
Вы знаете программу, которая его использует? Если это так, вы можете подключить эту программу к функции записи в файл и получить представление о том, какие данные она записывает, размер данных и где.
Дополнительная информация: http://www.codeproject.com/KB/DLL/Win32APIHooking_Trouble.aspx
Получите приложение Delphi, откройте его в бесплатной версии IDA Pro и найдите, где он записывает файл и расшифровывает, как он записывает файл таким образом.
Если только это не текст плана.
В отличие от традиционных шестнадцатеричных редакторов, которые отображают только необработанные шестнадцатеричные байты файла, редактор 010 также может анализировать файл в иерархическую структуру с использованием двоичного шаблона. Результаты запуска двоичного шаблона гораздо проще понять и отредактировать, чем использовать только необработанные шестнадцатеричные байты.
http://www.sweetscape.com/010editor/
Попробуйте открыть его в шестнадцатеричном редакторе и проанализировать.
