Linux实践:ELF文件格式分析
标签(空格分隔): 20135321余佳源
一、基础知识
ELF全称Executable and Linkable Format,可执行连接格式,ELF格式的文件用于存储Linux程序。ELF文件(目标文件)格式主要三种:
- 可重定向文件:文件保存着代码和适当的数据,用来和其他的目标文件一起来创建一个可执行文件或者是一个共享目标文件。(目标文件或者静态库文件,即linux通常后缀为.a和.o的文件)
- 可执行文件:文件保存着一个用来执行的程序。(例如bash,gcc等)
- 共享目标文件:共享库。文件保存着代码和合适的数据,用来被下连接编辑器和动态链接器链接。(linux下后缀为.so的文件。)
一般的 ELF 文件包括三个索引表:
- ELF header ELF头,在文件的开始,保存了路线图,描述了该文件的组织情况。
- Program header table 程序头表,告诉系统如何创建进程映像。用来构造进程映像的目标文件必须具有程序头部表,可重定位文件不需要这个表。
- Section header table 段节头表,包含了描述文件节区的信息,每个节区在表中都有一项,每一项给出诸如节区名称、节区大小这类信息。用于链接的目标文件必须包含节区头部表,其他目标文件可以有,也可以没有这个表。
二、ELF文件头(ELF header)的分析
进入终端输入:cd /usr/include
进入include文件夹后查看elf.h文件,查看ELF的文件头包含整个文件的控制结构,这里看到的是32位系统的elf.h
e_ident
这个最初的字段标示了该文件为一个可执行的object文件,提供了一个机器无关的数据,解释文件的内容。e_type
确定了object的类型e_version
确定object的文件版本e_entry
是系统第一个传输控制 的虚拟地址,在那启动进程,假如文件没有如何关联的入口点,该值为0e_phoff
program header offset, 保持了程序头表在文件中的偏移量(bytes),假如没有程序头表的话,该值为0e_shoff
section header offset,保持着段节头表在文件中的偏移量(bytes),如果没有段节头表的话,该值为0e_flags
保存着相关文件的处理器标志e_ehsize
elf header size,保存着ELF头大小(bytes)e_phentsize
program header entry size,保存着在文件的程序头表中一个入口的大小(bytes),所有入口大小都一样。e_phnum
program header number,保存着程序头表的个数,也就是说和e_phentsize的乘积就是表的大小(bytes),如果没有程序头表,e_shentsize
section header entry size,section段节头大小(bytes),一个段节 头在段节头表中的一个入口,所有入口同样大小e_shnum
section header number,保存着在段节头表中的入口数目,与e_shentsize乘积是section头表的大小,如果没有section头表,该值为0e_shstrndx
section header string index,保存跟段节section名字字符表相关入口的section头表索引,假如没有section名字字符表,该值就会变成SHN_UNDEF,section header null,undefine
接下来对fish的elf文件头进行分析
又图可以看出elf头大小为52bytes,接下来可以使用hexdump -x fish -n 52
来查看fish文件头的前52bytes并分析其格式
第一行,本系统是小端法显示,对应e_ident前四个字节457f464c,就是7f454c46,就是7f elfd对应的ASCII码,接下来一个01就是表示32位机器,接下来一个01,就是小端法的表示,再接着一个01,表示文件头版本,剩下默认设置为0。
第二行,e_type值为0x0002,表示这是一个可执行文件,e_machine值为0x0003,表示是intel80386的处理器体系结构,e_version值为0x00000001,表示当前版本,e_entry为0x08048370,表示其入口地址,e_phoff值为0x00000034,表示该程序头为52bytes
第三行,e_shoff值为0x00001158,表示的是段表的偏移地址为4440bytes,e_flags为0x00000000,表示未定的处理器标志,e_ehsize值为0x0034,表示了elf头的大小是52bytes,e_phentsize,值为0x0020表示了其中一个程序头表的入口大小是32bytes,e_phnum值是0x0009,表示程序头表的入口数为9个,e_ehentsize值为0x0028,表示了该段节的头大小为40bytes。
第四行,e_shnum值为0x001e,表示了段表入口有30个,e_shstrndx值为0x001b,表示了该段在段名字字符表中索引号是27号
三、通过文件头找到section header table,理解其内容
输入readelf -S fish
查看fish的section header table内容
- [Nr]表示对应的section索引值
- Name,名称
- Type,section的类型
- Addr,起始地址
- Off,section偏移地址
- size,section大小
输入readelf -s fish
查看fish的符号表
四、通过section header table找到各section
在一个ELF文件中有一个section header table,通过它我们可以定位到所有的 section,而 ELF header 中的e_shoff 变量就是保存 section header table 入口对文件头的偏移量。而每个 section 都会对应一个 section header ,所以只要在 section header table 中找到每个 section header,就可以通过 section header 找到你想要的 section。
下面以可执行文件fish为例,以保存代码段的 section 为例来讲解读取某个section 的过程。
由上面的图可以看出32位系统的section header结构体
看到e_shoff值0x00001158可以知道段表地址偏移为0x1158,e_shnum值为0x001e可知段表入口30个,即从0x1158开始有30个段占了40bytes
接下来开始输入hexdump fish
查看全部的16进制信息,并找到第一段开始读取
不过这里第一段全为0。
接下来是第二段
可以对应section header table看看发现是符合的,第二段是.interp段,起始地址0x08048154,偏移量是0x000154,大小是13
接着是第三段
是.note.ABI-tag段,起始地址是0x08048168,偏移量是0x000168,大小是20
同理可以看其他的段
比如说.text段,即可执行指令的集合,起始地址是0x08048370,偏移地址370,大小是1e2,换算十进制后再使用hexdump -s 880 -n 472 -C fish
查看对应的数据
这时可以使用readelf -x 13 fish
查看.text段的数据:
两者对比发现数据一致,说明通过section header table 成功找到了.text数据节,然后使用objdump -d fish
找到.text段的数据并和section header table与readelf两者找到的一样
五、理解常见的.text .strtab .symtab .rodata等section
.text
代码段,存储二进制的机器指令,这些指令可以被机器直接执行.rodata
read only data,只读数据段,存储程序中所使用的复杂常量,比如字符串。.data
数据段,存储程序中已经被明确初始化的全局数据,包括C语言的全局变量和静态变量,如果全局数据被初始化为0,则不存储在数据段中,而是存储在块数据段中,C语言局部数据存储在栈中,不出现在数据段中。.bss
块数据段,存储未被明确初始化的全局变量,在目标文件中,这个段并不占有空间,而仅仅是一个占位符,以告知指定位置上应当预留全局数据的空间,块缓存段存在的原因是为了提高磁盘的空间利用率.symtab
一个符号表,存放在程序中被定义和引用的函数和全局变量的信息,但是不包括局部变量的表目.strtab
string table,字符串表,其内容包括了.symtab和.debug节中的符号表,以及节头部中的节名称,字符串表就是以null结尾的字符串序列
Linux实践:ELF文件格式分析的更多相关文章
- 实践——ELF文件格式分析
一.分析文件头 1. 段入口类型定义(/usr/include/elf.h)下面产生的hello是32位的 使用命令#Hexdump –x ELF_1.o 第一行: 前4字节,蓝色部分,是一个魔数,表 ...
- linux第三次实践:ELF文件格式分析
linux第三次实践:ELF文件格式分析 标签(空格分隔): 20135328陈都 一.概述 1.ELF全称Executable and Linkable Format,可执行连接格式,ELF格式的文 ...
- Linux及安全实践四——ELF文件格式分析
Linux及安全实践四——ELF文件格式分析 一.ELF文件格式概述 1. ELF:是一种对象文件的格式,用于定义不同类型的对象文件中都放了什么东西.以及都以什么样的格式去放这些东西. 二.分析一个E ...
- Linux课题实践四——ELF文件格式分析
2.4 ELF文件格式分析 20135318 刘浩晨 ELF全称Executable and Linkable Format,可执行连接格式,ELF格式的文件用于存储Linux程序.ELF文件(目 ...
- 20135337——linux实践三:ELF文件格式分析(32位系统)
ELF文件格式分析 可重定位文件 十六进制形式显示内容 显示各个段.符号表相关信息 查看各个段信息 elf文件头信息 段表 符号表信息 查看堆栈 具体分析 1.ELF文件头信息(小字节优先,均十六进制 ...
- 实践2.4 ELF文件格式分析
实践2.4 ELF文件格式分析 1.ELF文件头 查看/usr/include/elf.h文件: #define EI_NIDENT (16) typedef struct { unsigned ch ...
- 20135306 2.4 ELF文件格式分析
2.4 ELF文件格式分析 20135306 黄韧 ELF全称Executable and Linkable Format,可执行连接格式,ELF格式的文件用于存储Linux程序.ELF文件(目标 ...
- Linux课程实践四:ELF文件格式分析
一.ELF文件格式概述 1. ELF文件 ELF:Executable and Linking Format,是一种对象文件的格式,用于定义不同类型的对象文件(Object files)中都放了什么东 ...
- ELF文件格式分析--结构篇
ELF文件格式,全称为Excutable and Linking Format,是一个开放的可执行文件和链接文件格式,在LINUX上很流行,跨平台软件的设计也多以ELF格式作为标准,其结构扩展性兼容性 ...
随机推荐
- linux系统日志自动切割工具----logrotate
参考资料 :https://www.cnblogs.com/kevingrace/p/6307298.html 对于Linux系统安全来说,日志文件是极其重要的工具.不知为何,我发现很多运维同学的服务 ...
- i.s.h.med Enhancement for cancelling an appointment
This article intends to introduce my experience about enhancement for canceling an appointment. I tr ...
- full gc频繁的分析及解决案例
full gc频繁的分析及解决案例 2016-04-14 09:20:54 0个评论 来源:end's coding life 收藏 我要投稿 现象 ? 1 系统报警full ...
- 解决input框黄色背景问题(转)
input:-webkit-autofill { box-shadow: 0 0 0px 1000px white inset !important;} <form action="l ...
- 微信小程序のCss(一)
一.margin:外边距:设置对象四边的外延边距. margin: 20rpx 10rpx 25rpx 10rpx :如果提供全部四个参数值,将按上.右.下.左的顺序作用于四边. margin:20r ...
- Linux驱动的两种载入方式过程分析
一.概念简述 在Linux下能够通过两种方式载入驱动程序:静态载入和动态载入. 静态载入就是把驱动程序直接编译进内核.系统启动后能够直接调用.静态载入的缺点是调试起来比較麻烦,每次改动一个地方都要又一 ...
- Webserver管理系列:6、网络和共享中心的安全配置
1.关闭网络发现 2.关闭文件和打印机共享 3.关闭公用目录共享 4.启用password保护共享
- Spring Boot属性配置文件详解
相信很多人选择Spring Boot主要是考虑到它既能兼顾Spring的强大功能,还能实现快速开发的便捷.我们在Spring Boot使用过程中,最直观的感受就是没有了原来自己整合Spring应用时繁 ...
- kafka libjvm 报错
kafka集群 kafka-0 出现报错信息 # # A fatal error has been detected by the Java Runtime Environment: # # SIGS ...
- vue - 状态管理器 Vuex
状态管理 vuex是一个专门为vue.js设计的集中式状态管理架构.状态?我把它理解为在data中的属性需要共享给其他vue组件使用的部分,就叫做状态.简单的说就是data中需要共用的属性.