ImHex: hex editor dành cho reverse engineer

ImHex là gì?

ImHex là một hex editor miễn phí, mã nguồn mở, dành cho reverse engineer, lập trình viên và bất kỳ ai cần phân tích file nhị phân lúc 3 giờ sáng. ImHex phủ cấu trúc lên chuỗi byte thô bằng một ngôn ngữ pattern kiểu C, biến một định dạng file thành các trường có tên thay vì một mảng hex hỗn độn. ImHex còn tích hợp sẵn disassembler dựa trên Capstone và tính năng quét rule YARA trong một giao diện, chạy trên Windows, macOS và Linux.

Tính năng chính của ImHex

• ✓Ngôn ngữ pattern kiểu C tùy biến, dùng để phân tích và tô sáng cấu trúc file — mảng, con trỏ, struct, union, enum, bitfield, cả hai kiểu endian.
• ✓Disassembler tích hợp dựa trên Capstone, hỗ trợ ARM32/64, MIPS, x86, PowerPC, SPARC, RISC-V, WebAssembly và nhiều kiến trúc khác.
• ✓Quét theo rule YARA, tô sáng trực tiếp các điểm khớp trong khung hex.
• ✓Data inspector diễn giải cùng một chuỗi byte thành số nguyên, số thực, LEB128, GUID hoặc timestamp, chỉnh sửa trực tiếp.
• ✓Bộ tiền xử lý dữ liệu dạng node, giải mã hoặc giải mã hóa byte trước khi hiển thị lên khung hex, không đụng vào file gốc.
• ✓Nạp dữ liệu từ file cục bộ, ổ đĩa thô, bộ nhớ qua GDB server, bộ nhớ tiến trình đang chạy, và file từ xa qua SSH/SFTP.
• ✓Hỗ trợ hashing với nhiều thuật toán — MD5, họ SHA, các biến thể CRC, Murmur, XXHash, Blake2 và nhiều loại khác.
• ✓Content updater tích hợp sẵn, tải pattern file, magic file, encoding và theme tùy chỉnh từ kho ImHex-Patterns.

Cài đặt ImHex

README trỏ sang một hướng dẫn INSTALL.md riêng thay vì liệt kê lệnh cài đặt ngay trong README chính, nên các lệnh cài đặt cụ thể không được ghi rõ trong repo. Những gì có ghi rõ: Windows 7 trở lên được hỗ trợ (khuyến nghị 10/11); macOS cần bản 15 (Sequoia) trở lên cho các bản release, và vì bản build không được ký số nên bạn phải tự cho phép nó trong Security & Privacy; Linux có bản release chính thức cho Ubuntu, Debian, Fedora, RHEL/AlmaLinux và Arch, còn các distro khác dùng AppImage, Flatpak hoặc Snap. ImHex cần GPU hỗ trợ OpenGL 3.0; bản có hậu tố -NoGPU dùng software rendering và không cần GPU, nhưng chậm hơn. Yêu cầu tối thiểu khoảng 50MiB RAM và 100MiB dung lượng lưu trữ.

Lựa chọn thay thế cho ImHex

Câu hỏi thường gặp

Vấn đề nó giải quyết

Nhìn byte thô trên lưới hex không nói lên điều gì cho tới khi bạn tự đếm offset bằng tay, hoặc phải chuyển qua lại giữa khung xem hex, một disassembler riêng và một công cụ quét malware riêng. ImHex gộp việc định nghĩa cấu trúc, disassembly và quét YARA vào một trình soạn thảo: bạn viết một pattern file một lần — mô tả header dưới dạng struct với các trường có tên — rồi ImHex tự áp dụng nó dựa trên magic byte của file, thay vì bạn phải suy lại layout mỗi lần mở một file cùng dạng.

Trường hợp sử dụng tốt nhất

• •Reverse engineering một file nhị phân hoặc bản dump firmware lạ bằng cách định nghĩa cấu trúc qua pattern file thay vì đoán offset bằng mắt.
• •Công việc forensics — trích chuỗi ký tự, hash từng vùng dữ liệu, và diff hai phiên bản của một file.
• •Phân tích định dạng file độc quyền hoặc chưa có tài liệu, rồi chia sẻ pattern file lên kho ImHex-Patterns.
• •Rà soát nhanh malware bằng rule YARA và disassembler tích hợp, trước khi chuyển sang một bộ công cụ disassembler đầy đủ.
• •Chỉnh sửa hex lúc nửa đêm, khi một giao diện sáng mặc định mới thực sự là vấn đề khó dùng.

Ai nên dùng — và ai nên bỏ qua

Dùng ImHex nếu bạn thường xuyên mở các file nhị phân chưa có trình xem phù hợp — bản dump firmware, save game, định dạng container lạ — và muốn định nghĩa cấu trúc một lần thay vì đoán lại bằng mắt mỗi lần. Bỏ qua nếu bạn chỉ cần xem hoặc sửa hex nhẹ nhàng mà không bao giờ viết pattern, vì một trình xem hex tối giản mở nhanh hơn và không đòi hỏi gì ở bạn. Người phân tích malware đã quen với Ghidra hay radare2 vẫn có thể dùng ImHex như một bước rà soát nhanh trước khi chuyển sang decompiler đầy đủ.

Repo liên quan