常用的分析ELF文件的命令（readelf、objdump及od）

readelf：

-h：文件头
-S：段表
-s：符号表
-d: 查看依赖库
-p：查看某个段内容，非常重要。如：readelf -p .comment libc.so （通过-p对只读段的查看就可以替代strings命令）

objdump：

-d：反汇编（objdump我基本只用这一个）
-h：段表，同readelf -S，所以可以不用记
–s：代码段、数据段、只读数据段，各个段二进制
-a：看一个.a静态库文件中包含了哪些目标文件

od：

如：十六进制输出数据并且地址以十进制打印：od -A d -t xCc 文件

命令中各选项的含义：
- A 指定地址基数，包括：
d 十进制
o 八进制（系统默认值）
x 十六进制
n 不打印位移值
- t 指定数据的显示格式，主要的参数有：
c ASCII字符或反斜杠序列
d 有符号十进制数
f 浮点数
o 八进制（系统默认值为02）
u 无符号十进制数
x 十六进制数

---

以下为ELF文件各个表的描述，供以后复习

---

文件头：描述文件的基础信息以及找到段表

文件头查看：readef -h

1）模数
第1个字节：DEL控制符，固定的
第2、3、4个字节：ELF三个字母
第5个字节：文件位数（0：无效、1：ELF32、2：ELF64）
第6个字节：大小端（0：无效、1：小端、2：大端）
第7个字节：ELF文件的主版本号，一般为1
后面的为预留字段。
2）文件类型：REL (Relocatable file)、DYN (Shared object file)、EXEC (Executable file)
3）Machine: Intel 80386 ：硬件平台，此文件适合在哪个硬件平台下运行
4）程序入口地址
Entry point address: 0x8048310
代表程序入口的虚拟地址，只有可执行文件跟共享库有入口（共享库的入口地址有什么用呢？）
5）Start of program headers: 52 (bytes into file) : (readelf -l ), 程序表头，装载时用到，因为目标文件不需要装载，所以为0。
**6）Start of section headers: ** 2000 (bytes into file)
段表在文件中的偏移，也就是说段表从文件中的2000个字节开始的
2000是10进制，用计算器转换成16进制后就可以在那个，这个特别重要，找到段表，就代表了什么都有了
7）Size of section headers: 40 (bytes)
段表描述符的大小，猜测：会根据平台的不同，这个是固定的，因为在同一个平台下不同代码编出来的目标文件，结果是一样的
8）Number of section headers: 11
段表描述符数量，elf文件中，拥有的段的数量（所以说，一个段表描述符就是在描述一个段呗）
证明（readelf -S ）
9）Size of this header: 52 (bytes)
ELF文件头本身的大小，猜测：会根据平台的不同，这个是固定的
10）Section header string table index: 8
段表字符串表所在的段在段表中的下标

总结：通过文件头找段表，之后在段表里面找到段表字符串表，段表中就能找到段表字符串标在文件中的偏移，之后就能生成整个段表。

---

段表：描述每个段的详细信息

段表查看：readelf –S， 如果gcc –g的话，还会有很多调试信息段

**Name：**在段表描述符里存了一个整形，这个整形是段名在段表字符串表（.shstrtab）中的偏移。
**Type：**段的类型，如下表
**Addr：**如果可以被加载，代表了该段在虚拟内存空间的地址，否则为0，可以看出来，段表字符串表、符号表、字符串表都不会被加载的
**Off：**如果该段在文件中，则代表了在文件中的偏移
**Size：**段长
**Flags：**标志
**Lk跟Inf：**段的链接信息
**Al：**段地址对齐，代表这个段是几字节对齐的
**ES：**项的长度：如果该段的每一项的长度是固定的，那么就代表每一项的长度，如符号表的每个符号的信息长度都是0x10个字节。对于变化的就是0。符号表里存的符号名，只是符号在字符串表中的索引，符号表里不是直接存的符号。

**Flags字段：**段的标志，表示该段在进程虚拟空间中的属性，可读/可写/可执行，这个标志比较重要，因为在加载的时候，会根据段的标志进行加载的，大概是只读放在一个区域，可读可写放在一个区域等

**Lk跟Inf：**段的链接信息，与链接、重定位相关的段，这两个信息才有意义

---

重要段：代码段、数据段、只读数据段、BSS段

代码段、数据段、只读数据段：objdump –s
代码段：程序指令，objdump -d反汇编
数据段：已经初始化了全局变量和局部静态变量
只读数据段：只读变量以及字符串常量
BSS段：存放了未初始化的全局变量和局部静态变量，通过符号表可以看出

---

字符串表：符号名等

---

段表字符串表：段名


---

注释提示段

---

符号表： readelf -s / nm / objdump -x

**符号名：**该符号在字符串表中的下标
**符号值：**目标文件中：非COMMON类型表示该符号在所在段中的偏移，common类型表示对齐属性；可执行文件中：代表虚拟地址（动态链接器如何用它？）
**符号大小：**非0代表该符号值的数据类型的大小，0代表未知或0
符号类型和绑定信息：符号类型：数据？函数？段？文件？符号绑定信息：局部符号（外部不可见）？全局符号（外部可见）？弱引用？低4位表示符号的类型，高28位表示符号的绑定信息，看下表
**其他：**目前没用，为0
**符号所在的段：**如果非0数字，代表了是在本文件中定义的符号，并且代表了对应的段，其余含义为：UND：本目标文件未定义；ABS：绝对的值，如文件名；COMMON:COMMON块类型（未初始化的全局变量）