内核级病毒与木马攻防：ELF文件的符号表和函数调用追踪

熟悉编译原理的同学一定了解何为符号，所谓符号其实是一种数据结构，用来描述编程语言中定义的特定对象。例如编程语言中定义的变量，函数都有特定的符号用于描述他们的性质。例如变量对应的符号中包含了变量对应的字符串名称，变量的类型，以及变量对应的内存。函数对应的符号包含了函数名称字符串，函数的返回值类型，函数入口内存地址等，在代码调试时，你把鼠标挪动到变量所在位置，IDE就给你显示出变量当前的取值等信息，这些信息就来自变量对应的符号，我在有关编译原理的两门课程里对符号有非常深入的讲解。

在elf文件中存在两种符号表，分别为.dynsym和.symtab。.dynsym包含了外部链接进来的全局变量对应符号，例如当代码中使用printf函数时，该函数对应的符号就存储在.dynsym中。而.symtab包含了.dynsym中的所有符号，还包括了代码本地定义的变量和函数符号，既然后者已经包含前者的符号表，为何ELF文件格式依然要保持两张符号表呢，我们先用readelf -S来再次查看可执行文件的符号表段：readelf -S ./hello_world，在输出的结果中可以看到，有些段对应的flag是标志A，有些是WA，如下图：

其中A表示ALLOC，WA表示WRITE/ALLOC,AX表示ALLOC/EXEC，