ELF文件结构

ELF文件结构

ELF文件的全称是Executable and Linkable Format，直译为“可执行可链接格式”，包括目标文件（.o）、可执行文件（可以直接运行）、静态链接库、动态链接库、核心转储文件（core dump）。ELF文件的定义可以在/usr/include/elf.h中找到，本文主要介绍ELF64，ELF文件通常由下列部分组成：

• ELF头（ELF header）：放在ELF文件开头，描述该文件信息。

• 节头表（Section header table）：包含对节（section）的描述，对于可重定位文件(relocatable files)是必须的，对于可装载文件（loadable files）是可选的。

• 程序头表（Program header table）：对于可装载文件（loadable files）是必须的，对于可重定位文件（relocatable files）是可选的。用来描述加载程序或动态链接库所需要的段（segments）和其他数据结构。

• 节或段的内容，包括符号表等。

ELF头

typedef struct
{
  unsigned char e_ident[EI_NIDENT];	/* Magic number and other info */
  Elf64_Half    e_type;			/* Object file type */
  Elf64_Half    e_machine;		/* Architecture */
  Elf64_Word    e_version;		/* Object file version */
  Elf64_Addr    e_entry;		/* Entry point virtual address */
  Elf64_Off     e_phoff;		/* Program header table file offset */
  Elf64_Off     e_shoff;		/* Section header table file offset */
  Elf64_Word    e_flags;		/* Processor-specific flags */
  Elf64_Half    e_ehsize;		/* ELF header size in bytes */
  Elf64_Half    e_phentsize;		/* Program header table entry size */
  Elf64_Half    e_phnum;		/* Program header table entry count */
  Elf64_Half    e_shentsize;		/* Section header table entry size */
  Elf64_Half    e_shnum;		/* Section header table entry count */
  Elf64_Half    e_shstrndx;		/* Section header string table index */
} Elf64_Ehdr;

Elf64_Ehdr中的数据结构含义如下：

数据结构名称	大小（byte）	对齐（byte）	目标
Elf64_Addr	8	8	Unsigned program address
Elf64_Off	8	8	Unsigned file offset
Elf64_Half	2	2	Unsigned medium integer
Elf64_Word	4	4	Unsigned integer
Elf64_Sword	4	4	Signed integer
Elf64_Xword	8	8	Unsigned long integer
Elf64_Sxword	8	8	Signed long integer
unsigned char	1	1	Unsigned small integer

我们用readelf -h hello.o看一下从源文件到可执行文件：源文件的预处理、编译、汇编、链接中生成的hello.o文件的ELF头（因为我机器上显示的结果是中文，所以接下来就按照中文来说明，比如ELF头中类别对应Class，类型对应Type）。

ELF 头：
  Magic：   7f 45 4c 46 02 01 01 00 00 00 00 00 00 00 00 00
  类别:                              ELF64
  数据:                              2 补码，小端序 (little endian)
  Version:                           1 (current)
  OS/ABI:                            UNIX - System V
  ABI 版本:                          0
  类型:                              REL (可重定位文件)
  系统架构:                          Advanced Micro Devices X86-64
  版本:                              0x1
  入口点地址：               0x0
  程序头起点：          0 (bytes into file)
  Start of section headers:          864 (bytes into file)
  标志：             0x0
  Size of this header:               64 (bytes)
  Size of program headers:           0 (bytes)
  Number of program headers:         0
  Size of section headers:           64 (bytes)
  Number of section headers:         14
  Section header string table index: 13

ELF头一开始的位置是魔术字符（Magic），在ASCII码中，'E'、'L'、'F'分别对应45、4c、46。当文件被映射到内存中，可以通过魔术字符确定映射地址。 ELF头与Elf64_Ehdr存在对应关系：

Elf64_Ehdr成员	ELF头	含义
e_ident	Magic: 7f 45 4c 46 02 01 01 00 00 00 00 00 00 00 00 00
e_type	类型: REL (可重定位文件)	ELF文件类型（包括Relocatable/Executable/Shared/Core等类型）
e_machine	系统架构: Advanced Micro Devices X86-64
e_version	版本: 0x1	版本号，通常为0x1
e_entry	入口点地址: 0x0	程序入口点的虚拟地址，操作系统在加载完程序后从该地址开始执行进程的指令。可重定位文件没有入口地址，所以为0。用readelf命令查看前文生成的可执行文件可以看到入口地址
e_phoff	程序头起点：0 (bytes into file)	程序头表偏移（单位：byte）
e_shoff	Start of section headers: 864 (bytes into file)	节头表偏移（单位：byte）
e_flags	标志：0x0	特定于处理器的标识
e_ehsize	Size of this header: 64 (bytes)	ELF头本身的大小（单位：byte）
e_phentsize	Size of program headers: 0 (bytes)	程序头大小（单位：byte）
e_phnum	Number of program headers: 0	程序头个数
e_shentsize	Size of section headers: 64 (bytes)	节头大小（单位：byte）
e_shnum	Number of section headers: 14	节头个数
e_shstrndx	Section header string table index: 13	字符串表在节头表中索引

对于魔数字符，再展开介绍一下。Magic共16个字节（Magic: 7f 45 4c 46 02 01 01 00 00 00 00 00 00 00 00 00），第0~3个字节标识文件；第4个字节标识文件类别（类别: ELF64），1表示32位，2标识64位；第5个字节标识文件数据编码（数据: 2 补码，小端序 (little endian)），1标识小端序，2表示大端序；第6个字节标识文件版本（Version: 1 (current)），值为1；第7个字节标识操作系统和ABI（OS/ABI: UNIX - System V），0表示System V ABI，1表示HP-UX operating system，255表示Standalone (embedded) application；第8个字节标识ABI版本（ABI 版本: 0），值为1；剩余字节被保留为将来使用，设置为0。

节头表

一个目标文件（包括Relocatable/Executable/Shared/Core等类型）中包含很多节，这些节的信息保存在节头表中，表的每一项都是一个Elf64_Shdr结构体（也称为节描述符），节点信息包括节名、节大小、在文件中的偏移、读写权限等，编译器、链接器、装载器都是通过节头表来定位和访问各个节的属性的。/usr/include/elf.h中的Elf64_Shdr内容如下：

typedef struct
{
  Elf64_Word	sh_name;		/* Section name (string tbl index) */
  Elf64_Word	sh_type;		/* Section type */
  Elf64_Xword	sh_flags;		/* Section flags */
  Elf64_Addr	sh_addr;		/* Section virtual addr at execution */
  Elf64_Off	sh_offset;		/* Section file offset */
  Elf64_Xword	sh_size;		/* Section size in bytes */
  Elf64_Word	sh_link;		/* Link to another section */
  Elf64_Word	sh_info;		/* Additional section information */
  Elf64_Xword	sh_addralign;		/* Section alignment */
  Elf64_Xword	sh_entsize;		/* Entry size if section holds table */
} Elf64_Shdr;

通过readelf -S hello.o命令查看hello.o文件的节头表。

There are 14 section headers, starting at offset 0x360:

节头：
  [号] 名称              类型             地址              偏移量
       大小              全体大小          旗标   链接   信息   对齐
  [ 0]                   NULL             0000000000000000  00000000
       0000000000000000  0000000000000000           0     0     0
  [ 1] .text             PROGBITS         0000000000000000  00000040
       0000000000000027  0000000000000000  AX       0     0     1
  [ 2] .rela.text        RELA             0000000000000000  00000270
       0000000000000060  0000000000000018   I      11     1     8
  [ 3] .data             PROGBITS         0000000000000000  00000067
       0000000000000000  0000000000000000  WA       0     0     1
  [ 4] .bss              NOBITS           0000000000000000  00000067
       0000000000000000  0000000000000000  WA       0     0     1
  [ 5] .rodata           PROGBITS         0000000000000000  00000067
       0000000000000019  0000000000000000   A       0     0     1
  [ 6] .comment          PROGBITS         0000000000000000  00000080
       000000000000002c  0000000000000001  MS       0     0     1
  [ 7] .note.GNU-stack   PROGBITS         0000000000000000  000000ac
       0000000000000000  0000000000000000           0     0     1
  [ 8] .note.gnu.propert NOTE             0000000000000000  000000b0
       0000000000000020  0000000000000000   A       0     0     8
  [ 9] .eh_frame         PROGBITS         0000000000000000  000000d0
       0000000000000038  0000000000000000   A       0     0     8
  [10] .rela.eh_frame    RELA             0000000000000000  000002d0
       0000000000000018  0000000000000018   I      11     9     8
  [11] .symtab           SYMTAB           0000000000000000  00000108
       0000000000000138  0000000000000018          12    10     8
  [12] .strtab           STRTAB           0000000000000000  00000240
       0000000000000029  0000000000000000           0     0     1
  [13] .shstrtab         STRTAB           0000000000000000  000002e8
       0000000000000074  0000000000000000           0     0     1
Key to Flags:
  W (write), A (alloc), X (execute), M (merge), S (strings), I (info),
  L (link order), O (extra OS processing required), G (group), T (TLS),
  C (compressed), x (unknown), o (OS specific), E (exclude),
  l (large), p (processor specific)

正如ELF头中内容所示，hello.o中包含14个节。节名（sh_name）是一个单位为字节的偏移量，表示相对于节名字符串表(section name string table，也就是.shstrtab)起点的偏移，节名实际存放在节名字符串表中，通过查表得到。节类型（sh_type)分为以下几类，readelf命令的结果省略了前缀SHT_。

节类型	含义
SHT_NULL	无效节
SHT_PROGBITS	程序节。代码节、数据节都是这种类型
SHT_SYMTAB	符号表
SHT_STRTAB	字符串表
SHT_RELA	重定位表
SHT_HASH	符号表的哈希表
SHT_DYNAMIC	动态链接信息
SHT_NOTE	提示性信息
SHT_NOBITS	表示该节在文件中没有内容，不占用空间
SHT_REL	重定位信息
SHT_SHLIB	保留
SHT_DYNSYM	动态链接的符号表
SHT_LOOS/SHT_HIOS	特定环境使用
SHT_LOPROC/SHT_HIPROC	特定处理器使用

节标志位（sh_flags）表示该节在进程虚拟地址空间中的属性，1表示可写，2表示该节在进程空间中需要分配空间，有些包含指示或者控制信息的节不需要在进程分配空间，就没有这个标志，4表示该节在进程空间中可以被执行。

节链接信息（sh_link、sh_info），如果节的类型是与链接相关的（无论是动态链接还是静态链接），如重定位表、符号表等，则sh_link、sh_info两个成员所包含的意义如下所示。其他类型的节，这两个成员没有意义。

sh_type	sh_link	sh_info
SHT_DYNAMIC	该节所使用的字符串表在节头表中的下标	0
SHT_HASH	该节所使用的符号表在节头表中的下标	0
SHT_REL	该节所使用的相应符号表在节头表中的下标	该重定位表所作用的节在节头表中的下标
SHT_RELA	该节所使用的相应符号表在节头表中的下标	该重定位表所作用的节在节头表中的下标
SHT_SYMTAB	操作系统相关	操作系统相关
SHT_DYNSYM	操作系统相关	操作系统相关
other	SHN_UNDEF	0

重要的节

• .text节
  
  .text节是保存了程序代码指令的代码节。一段可执行程序，如果存在Phdr，则.text节就会存在于text段中。由于.text节保存了程序代码，所以节类型为SHT_PROGBITS。

• .rodata节
  
  rodata节保存了只读的数据，如一行C语言代码中的字符串。由于.rodata节是只读的，所以只能存在于一个可执行文件的只读段中。因此，只能在text段（不是data段）中找到.rodata节。由于.rodata节是只读的，所以节类型为SHT_PROGBITS。

• .plt节（过程链接表）
  
  .plt节也称为过程链接表（Procedure Linkage Table），其包含了动态链接器调用从共享库导入的函数所必需的相关代码。由于.plt节保存了代码，所以节类型为SHT_PROGBITS。

• .data节
  
  .data节存在于data段中，其保存了初始化的全局变量和局部静态变量等数据。由于.data节保存了程序的变量数据，所以节类型为SHT_PROGBITS。

• .bss节
  
  .bss节存在于data段中，占用空间不超过4字节，仅表示这个节本身的空间。.bss节保存了未进行初始化的全局数据和局部静态变量，程序加载时数据被初始化为0，在程序执行期间可以进行赋值。由于.bss节未保存实际的数据，所以节类型为SHT_NOBITS。

• .got.plt节（全局偏移表-过程链接表）
  
  .got节保存了全局偏移表。.got节和.plt节一起提供了对导入的共享库函数的访问入口，由动态链接器在运行时进行修改。由于.got.plt节与程序执行有关，所以节类型为SHT_PROGBITS。

• .dynsym节（动态链接符号表）
  
  .dynsym节保存在text段中。其保存了从共享库导入的动态符号表。节类型为SHT_DYNSYM。

• .dynstr节（动态链接字符串表）
  
  .dynstr保存了动态链接字符串表，表中存放了一系列字符串，这些字符串代表了符号名称，以空字符作为终止符。

• .rel.*节（重定位表）
  
  重定位表保存了重定位相关的信息，这些信息描述了如何在链接或运行时，对ELF目标文件的某部分或者进程镜像进行补充或修改。由于重定位表保存了重定位相关的数据，所以节类型为SHT_REL。

• .hash节
  
  .hash节也称为.gnu.hash，其保存了一个用于查找符号的散列表。

• .symtab节（符号表）
  
  .symtab节是一个ElfN_Sym的数组，保存了符号信息。节类型为SHT_SYMTAB。

• .strtab节（字符串表）
  
  .strtab节保存的是符号字符串表，表中的内容会被.symtab的ElfN_Sym结构中的st_name引用。节类型为SHT_STRTAB。

• .ctors节和.dtors节
  
  .ctors（构造器）节和.dtors（析构器）节分别保存了指向构造函数和析构函数的函数指针，构造函数是在main函数执行之前需要执行的代码；析构函数是在main函数之后需要执行的代码。

符号表包括.dynsym和.symtab，前者是后者的子集。.dynsym保存了引用自外部文件的符号，只能在运行时被解析（flag为Alloc），而.symtab还保存了本地符号，用于调试和链接，不会被装载到内存中。

程序头表

在/usr/include/elf.h，程序头表的结构如下：

typedef struct
{
  Elf64_Word	p_type;			/* Segment type */
  Elf64_Word	p_flags;		/* Segment flags */
  Elf64_Off	p_offset;		/* Segment file offset */
  Elf64_Addr	p_vaddr;		/* Segment virtual address */
  Elf64_Addr	p_paddr;		/* Segment physical address */
  Elf64_Xword	p_filesz;		/* Segment size in file */
  Elf64_Xword	p_memsz;		/* Segment size in memory */
  Elf64_Xword	p_align;		/* Segment alignment */
} Elf64_Phdr;

由于hello.o没有程序头表，所以通过readelf -l hello来读取可执行文件hello的程序头表，如下所示。

Elf 文件类型为 DYN (共享目标文件)
Entry point 0x1060
There are 13 program headers, starting at offset 64

程序头：
  Type           Offset             VirtAddr           PhysAddr
                 FileSiz            MemSiz              Flags  Align
  PHDR           0x0000000000000040 0x0000000000000040 0x0000000000000040
                 0x00000000000002d8 0x00000000000002d8  R      0x8
  INTERP         0x0000000000000318 0x0000000000000318 0x0000000000000318
                 0x000000000000001c 0x000000000000001c  R      0x1
      [Requesting program interpreter: /lib64/ld-linux-x86-64.so.2]
  LOAD           0x0000000000000000 0x0000000000000000 0x0000000000000000
                 0x00000000000005f8 0x00000000000005f8  R      0x1000
  LOAD           0x0000000000001000 0x0000000000001000 0x0000000000001000
                 0x00000000000001f5 0x00000000000001f5  R E    0x1000
  LOAD           0x0000000000002000 0x0000000000002000 0x0000000000002000
                 0x0000000000000170 0x0000000000000170  R      0x1000
  LOAD           0x0000000000002db8 0x0000000000003db8 0x0000000000003db8
                 0x0000000000000258 0x0000000000000260  RW     0x1000
  DYNAMIC        0x0000000000002dc8 0x0000000000003dc8 0x0000000000003dc8
                 0x00000000000001f0 0x00000000000001f0  RW     0x8
  NOTE           0x0000000000000338 0x0000000000000338 0x0000000000000338
                 0x0000000000000020 0x0000000000000020  R      0x8
  NOTE           0x0000000000000358 0x0000000000000358 0x0000000000000358
                 0x0000000000000044 0x0000000000000044  R      0x4
  GNU_PROPERTY   0x0000000000000338 0x0000000000000338 0x0000000000000338
                 0x0000000000000020 0x0000000000000020  R      0x8
  GNU_EH_FRAME   0x0000000000002020 0x0000000000002020 0x0000000000002020
                 0x0000000000000044 0x0000000000000044  R      0x4
  GNU_STACK      0x0000000000000000 0x0000000000000000 0x0000000000000000
                 0x0000000000000000 0x0000000000000000  RW     0x10
  GNU_RELRO      0x0000000000002db8 0x0000000000003db8 0x0000000000003db8
                 0x0000000000000248 0x0000000000000248  R      0x1

 Section to Segment mapping:
  段节...
   00
   01     .interp
   02     .interp .note.gnu.property .note.gnu.build-id .note.ABI-tag .gnu.hash .dynsym .dynstr .gnu.version .gnu.version_r .rela.dyn .rela.plt
   03     .init .plt .plt.got .plt.sec .text .fini
   04     .rodata .eh_frame_hdr .eh_frame
   05     .init_array .fini_array .dynamic .got .data .bss
   06     .dynamic
   07     .note.gnu.property
   08     .note.gnu.build-id .note.ABI-tag
   09     .note.gnu.property
   10     .eh_frame_hdr
   11
   12     .init_array .fini_array .dynamic .got

与节类似，段也有几种不同的类型（p_type），如下：

段类型	含义
PT_NULL	无效段
PT_LOAD	可加载段
PT_DYNAMIC	动态链接表
PT_INTERP	程序解释器路径名
PT_NOTE	信息段
PT_SHLIB	保留
PT_PHDR	程序头表
PT_LOOS / PT_HIOS	特定环境使用
PT_LOPROC / PT_HIPROC	特定处理机使用

段标志位（p_flags）表示权限，X表示执行允许，W表示写允许，R表示读允许。

最后再说一下节（section）和（segment）的关系。每个段包括一个或多个节，因为系统不关心这些节的具体内容，只关心这些节的权限（读、写、执行），将具有相同权限的节放到同一个段中。节是链接视角下的ELF文件，段是运行视角下的ELF文件。

参考资料

ELF-64 Object File Format

计算机那些事（4）—— ELF文件结构

CTF竞赛权威指南（Pwn篇）（杨超 编著，吴石 eee战队 审校，电子工业出版社）