ELF格式解读-(1) elf头部与节头

已于 2022-04-21 21:25:59 修改
阅读量5.8k 收藏 41
点赞数 8
分类专栏： elf 文章标签： 反汇编
于 2022-04-20 18:34:08 首次发布
本文链接：https://blog.csdn.net/qfanmingyiq/article/details/124295287
版权

前言

ELF是linux动态库,可执行文件的格式.具体介绍可参阅wiki Executable and Linkable Format。可以类比到windows下exe的格式。

首先推荐一个写的不错文档ELF格式

我们知道程序需要加载内存后才能运行。但是ELF文件加载到内存后布局会变化和原始ELF文件相比，加载器会将相同的节属性（比如只读）合并一个段。所以ELF也就有了两种视图，一种未加载前静态视图，另一种是加载后的动态视图。

我们首先了解静态视图下ELF文件格式如下：
在这里插入图片描述

你可以把ELF内容大致分为四个部分:

(1) ELF头部

(2) 节

(3) 节表头

(4) 程序头

  1. ELF头部固定在ELF文件开始
  2. 需要留意程序头和节表头可以位于ELF任意位置，他们位置被ELF头部中的属性指定
  3. 节分有很多种格式需要根据节类别区分，比如重定义节 与代码节

本文根据以下代码作为示例

#include <stdio.h>

static int mystaticVar = 3 ;
int myglobalvar=3;
//函数来自test.so
extern void testfun();
int main(){
	int *inp= 0x00;
	*inp=2;	
	testfun();
	static int myLocalVar1 = 3 ;
	static int myUnintLocallvar;
	printf("hello world %d \r\n",mystaticVar);
	return 0;
}
void hell(){
testfun();
}

目标文件 main.o
可执行文件main.out

ELF头部

我们以main.o 举例
我们用file查看文件类别
在这里插入图片描述
ELF 64-bit 告诉我们这个文件是一个64位系统下的ELF文件
LSB是least significant bit缩写表示第一个字节是多字节中最低有效位，简而言之就是小端模式
x86-64 是指该文件运行在那个处理器的ABI下
version 1(SYSV)是该ELF标准是UNIX_System_V具体参阅SYSV
not stripped表示该ELF存在符号表
relocatable 表示该文件是可重定位，因为main.o是目标文件而不是可执行文件，部分代码地址是不确定的

上面信息其实file程序读取该文件的elf头部得到。我们使用readelf -h文件头查看更详细的信息
在这里插入图片描述

在这里插入图片描述

数据结构如下所示

typedef struct
{
  unsigned char	e_ident[EI_NIDENT];	/* Magic number and other info */
  Elf64_Half	e_type;			/* Object file type */
  Elf64_Half	e_machine;		/* Architecture */
  Elf64_Word	e_version;		/* Object file version */
  Elf64_Addr	e_entry;		/* Entry point virtual address */
  Elf64_Off	e_phoff;		/* Program header table file offset */
  Elf64_Off	e_shoff;		/* Section header table file offset */
  Elf64_Word	e_flags;		/* Processor-specific flags */
  Elf64_Half	e_ehsize;		/* ELF header size in bytes */
  Elf64_Half	e_phentsize;		/* Program header table entry size */
  Elf64_Half	e_phnum;		/* Program header table entry count */
  Elf64_Half	e_shentsize;		/* Section header table entry size */
  Elf64_Half	e_shnum;		/* Section header table entry count */
  Elf64_Half	e_shstrndx;		/* Section header string table index */
} Elf64_Ehdr;

e_ident

一个16字节数组大小
在这里插入图片描述

完整参数参阅请参阅 ELF Header

在elf.h有EI_XXX表示上面下标位置

//elf.h
#define EI_NIDENT (16)
#define EI_MAG0		0		/* File identification byte 0 index */
#define ELFMAG0		0x7f		/* Magic number byte 0 */

#define EI_MAG1		1		/* File identification byte 1 index */
#define ELFMAG1		'E'		/* Magic number byte 1 */

#define EI_MAG2		2		/* File identification byte 2 index */
#define ELFMAG2		'L'		/* Magic number byte 2 */

#define EI_MAG3		3		/* File identification byte 3 index */
#define ELFMAG3		'F'		/* Magic number byte 3 */

/* Conglomeration of the identification bytes, for easy testing as a word.  */
#define	ELFMAG		"\177ELF"
#define	SELFMAG		4

#define EI_CLASS	4		/* File class byte index */
#define ELFCLASSNONE	0		/* Invalid class */
#define ELFCLASS32	1		/* 32-bit objects */
#define ELFCLASS64	2		/* 64-bit objects */
#define ELFCLASSNUM	3

#define EI_DATA		5		/* Data encoding byte index */
#define ELFDATANONE	0		/* Invalid data encoding */
#define ELFDATA2LSB	1		/* 2's complement, little endian */
#define ELFDATA2MSB	2		/* 2's complement, big endian */
#define ELFDATANUM	3

#define EI_VERSION	6		/* File version byte index */
					/* Value must be EV_CURRENT */

#define EI_OSABI	7		/* OS ABI identification */
#define ELFOSABI_NONE		0	/* UNIX System V ABI */
#define ELFOSABI_SYSV		0	/* Alias.  */
#define ELFOSABI_HPUX		1	/* HP-UX */
#define ELFOSABI_NETBSD		2	/* NetBSD.  */
#define ELFOSABI_GNU		3	/* Object uses GNU ELF extensions.  */
#define ELFOSABI_LINUX		ELFOSABI_GNU /* Compatibility alias.  */
#define ELFOSABI_SOLARIS	6	/* Sun Solaris.  */
#define ELFOSABI_AIX		7	/* IBM AIX.  */
#define ELFOSABI_IRIX		8	/* SGI Irix.  */
#define ELFOSABI_FREEBSD	9	/* FreeBSD.  */
#define ELFOSABI_TRU64		10	/* Compaq TRU64 UNIX.  */
#define ELFOSABI_MODESTO	11	/* Novell Modesto.  */
#define ELFOSABI_OPENBSD	12	/* OpenBSD.  */
#define ELFOSABI_ARM_AEABI	64	/* ARM EABI */
#define ELFOSABI_ARM		97	/* ARM */
#define ELFOSABI_STANDALONE	255	/* Standalone (embedded) application */

#define EI_ABIVERSION	8		/* ABI version */

#define EI_PAD		9		/* Byte index of padding bytes */
Name下标范围Purpose
ELF魔数0-4固定为0x7f+ELF
EI_CLASS5表示文件时32位还是64位 1是32 2是64
EI_DATA6指定大小端 1小端 2大端
EI_VERSION7ELF规范版本当前规定是1
EI_OSABI8ELF启用一些基于操作系统或者cpu特性一般为0
EI_ABIVERSION9一般为0 指定当前当ABI版本配合EI_OSABI使用
EI_PAD10-F预留
EI_NIDENTFe_ident[]数组大小

e_type

表示当前ELF文件类型，下面举例常见的类型

名字数值寓意
ET_NONE0非文件类型
ET_REL1可重定位文件
ET_EXEC2可执行文件
ET_DYN3共享库
ET_CORE4Core file

e_machine

制定当前ELF运行的CPU架构
下面举例常见的类型

名字数值寓意
EM_X86_6462AMD-x86-64

e_version

用于指定ELF版本一般都为1

e_entry

elf 代码运行的入口

e_flags

在e_machine指定的处理器下的一些特性

节头表相关字段

e_shoff
节头表在文件的偏移

e_shentsize
节头表中每个条目的大小

e_shnum
节头表中条目的数目

程序头相关字段

e_phoff
程序头在文件中的偏移

e_phentsize
指定程序头中每个条目的大小

e_phnum
指定程序头中每个条目的个数

e_shstrndx

每个节头都一个名称，这些名称都存储一个特殊节中。而e_shstrndx 指定这个特殊的节所在节头表的下标

我们先看看这个程序中所有节如下：
在这里插入图片描述
一共13个节，其中.shstrtab表示的存储字符串节 。
.shstrtab是section head string table

我们查看这个节内容如下所示：
在这里插入图片描述
大致结构如下：

在这里插入图片描述

节头

本例中我们依旧使用main.o我们可以到节头表信息如下：
在这里插入图片描述
在这里插入图片描述

节头表的第一项固定为空节不存储实际内容

在这里插入图片描述

每个节头数据结构如下：

typedef struct
{
  Elf64_Word	sh_name;		/* Section name (string tbl index) */
  Elf64_Word	sh_type;		/* Section type */
  Elf64_Xword	sh_flags;		/* Section flags */
  Elf64_Addr	sh_addr;		/* Section virtual addr at execution */
  Elf64_Off	sh_offset;		/* Section file offset */
  Elf64_Xword	sh_size;		/* Section size in bytes */
  Elf64_Word	sh_link;		/* Link to another section */
  Elf64_Word	sh_info;		/* Additional section information */
  Elf64_Xword	sh_addralign;		/* Section alignment */
  Elf64_Xword	sh_entsize;		/* Entry size if section holds table */
} Elf64_Shdr;

elf节头规则详细文档 https://refspecs.linuxfoundation.org/elf/gabi4+/ch4.sheader.html

sh_name

节名在字符串节中下标,本例中字符串节名称为.shstrtab.我们举例其中一个节.text
在这里插入图片描述
我们看到.text节的sh_name为20h也就是十进制32.我们看下.shstrtab指向的字节数组的32位

在这里插入图片描述

sh_type

这个字段根据节的内容(content)和语义(semantics)对节进行分类。
分类类型有很多种，我们只举例其中比较常见的类型。

名称数值解释
SHT_PROGBITS1一般存放代码或者数据类型
SHT_STRTAB3存放字符串表类型
SHT_NOBITS8表示这个节不存储信息在文件中，比如未初始化的数据

.text与.data一般就是SHT_PROGBITS （text存储代码 data存储数据）
.shstrtab一般是SHT_STRTAB
.bss一般是SHT_NOBITS (存储全局未初始化数据等)

sh_flags

字段标记是否可读可写可执行等，以及是否在内存中分配内存(SHF_ALLOC)
下图为枚举值表：
在这里插入图片描述

sh_addr

这个节被加载后对应VA地址

sh_offset

这个节在文件中的偏移

sh_size

节大小（不是指节头大小哦）

sh_link

一般用于关联节所在节头表的数组下标，一般为0
举例说明：
我们节中有一个专门用于重定位的节如.rela.text 就是用来重定位代码段部分代码的。
sh_link表示这个节所使用的的符号表节在节头表的下标
sh_info表示哪个节需要重定向。这个值指向在节头表中的索引。

如下图所示 ：
在这里插入图片描述

sh_info

一般用于关联节所在节头表的数组下标，一般为0

sh_addralign

对其数值。如果为0或者1表示不对齐。
sh_addr必须为0或者对其sh_addralign取模

sh_entsize

ent是entry缩写。

部分节内部存储是固定数据结构条目数组,针对这类别节sh_entsize指代的是每个条目的字节大小。

举例说明：
符号表节名为.symtab,它存储若干固定结构的符号信息。如下图所示
在这里插入图片描述

符号表每个条目数据结构如下所示

typedef struct {
	Elf32_Word	st_name;
	Elf32_Addr	st_value;
	Elf32_Word	st_size;
	unsigned char	st_info;
	unsigned char	st_other;
	Elf32_Half	st_shndx;
} Elf32_Sym;//32位

typedef struct {
	Elf64_Word	st_name;
	unsigned char	st_info;
	unsigned char	st_other;
	Elf64_Half	st_shndx;
	Elf64_Addr	st_value;
	Elf64_Xword	st_size;
} Elf64_Sym;//64位

sh_entsize指的就是Elf64_Sym或者Elf32_Sym的大小

参考

ELF Header

不会写代码的丝丽
关注
专栏目录
详解ELF可执行文件格式：读取头部信息和程序表头
tyler_download的专栏
09-05 1024
要想实现ELF文件的入口劫持，不深入掌握其运行原理与组成结构那是不可能的。ELF的内部结构复杂，加载逻辑难以理解，因此我们需要通过切香肠的方式，将这个困难的技术点一点一滴的去攻克。 这一节我们先掌握如何读取头部信息和程序表头，我们先看ELF文件的大致结构： ELF文件格式最重要的就是所谓的段，特别是其中的代码段和数据段。对应上图就是.text,.data两个段。每个段都对应一个段表来描述，而若干隔断会组成一个整体，它对应一个program,而后者则由program header table来指向，讲解EL
ELF头文件学习
steve_wchunxing的专栏
11-19 2389
ELF文件原名Executable and Linking Format，译为“可执行可连接格式”
ELF文件格式
fanged的专栏
07-22 458
2.2 读取程序头表 根据ELF文件头中的信息，内核读取程序头表（Program Header Table），这表明了哪些部分需要加载到内存中以及它们的属性（可读、可写、可执行）。2.5 动态链接器（ld-linux） 如果ELF文件是动态链接的可执行文件，内核会查找并加载动态链接器（通常为ld-linux.so或类似名称），并将控制权交给动态链接器。3.1 加载共享库 动态链接器读取可执行文件的动态段（Dynamic Section），找到所需的共享库（动态库），并将它们加载到内存中。
ELF文件结构
最新发布
Bileton的博客
09-20 811
ELF文件格式的最前部是，包含整个文件的基本属性。然后是各个，ELF文件中与节有关的结构是，节表描述ELF文件包含的所有节的信息。
ELF(二)ELF头
ylcangel的专栏
01-11 1405
elf头 以32位为例，64位与其区别只是在于数据类型的区别。 数据结构 typedefstruct {   unsigned char      e_ident[EI_NIDENT];       /* Magic number and other info */   Elf32_Half    e_type;                       /* Object file
ELF文件头分析
astrotycoon
12-20 3055
ELF Header Some object file control structures can grow, because the ELF header contains their actual sizes. If the object file format changes, a program may encounter control structures that are lar...
ELF文件头结构
热门推荐
北冥有鱼的Blog
05-16 1万+
转自 https://blog.csdn.net/tangyuesb/article/details/54630787ELF文件头结构定义在“/usr/include/elf.h”头文件下，ELF文件有32位版本和64位版本，故其头文件结构也有32位结构和64位结构，分别定义为Elf32_Ehdr和Elf64_Ehdr。两种版本文件内容一样，只是有些成员的大小不一样。以下是32位版本的文件头结构E...
【2】ELF格式：头部+节头+节+程序头
zitong0705的博客
09-02 1148
系统了解ELF格式及具体细节
elf的头文件
10-22
对elf文件中的结构体描述的头文件，对解析elf文件很有用的
ELF中文手册,elf的中文,C,C++
09-10
ELF中文手册详细介绍了如何解读这些内容，包括如何查看头部信息、节区、符号表、重定位条目以及动态段。通过学习手册，开发者可以更好地理解程序的内部结构，诊断链接错误，进行程序优化，甚至编写自己的工具来处理...
ELF中文手册，只要5积分
01-25
通过这份“ELF中文手册”，读者可以了解到如何解读ELF文件的各个组成部分，理解程序在操作系统中的加载和执行过程。这对于系统编程、调试、逆向工程等领域都是必备的知识。 ELF文件格式在Linux系统中扮演着核心角色...
elf.h头文件
07-20
头文件，elf文件是一种目标文件格式，用于定义不同类型目标文件以什么样的格式，都放了些什么东西。主要用于linux平台
剖析ELF文件格式的内容———文件头，段表，符号....（第三章）
u012138730的专栏
09-21 7743
目录 1.extern "C" 1.编译阶段——取名 2.链接阶段——找对应的名 参考： 2.extern变量名 1.extern "C" 在阅读代码的时候，常常会看到下面的代码片段： #ifdef __cplusplus extern "C" { #endif // 写例如dll导出函数的定义 #ifdef __cplusplus } #endif 这是一...
探索ELF可执行文件的“干货”:段头表和段的基本介绍
tyler_download的专栏
11-08 586
可执行文件的数据结构通常都很复杂和繁琐。原因在于程序在加载到内存中执行时需要经过一系列非常复杂的步骤。例如要计算数据或代码被加载到虚拟内存时的位置，计算重定向数值，实现不同代码的链接等。 本节我们一点一滴的了解段的数据格式和作用，这对我们后面了解Linux系统如何加载运行程序，并掌握相关的高级hack技术有非常重要的作用，首先我们看段头对应的数据结构，它用于描述ELF文件中某个段的基本特征： typedef struct { uint32_t sh_name; #段名 uint32_t sh_type;
ELF文件格式分析
weixin_34107955的博客
10-09 206
NDK开发最后生成的so文件是基于ELF文件格式。而so是共享目标文件，所以要想对so文件进行加密就必须了解ELF文件格式。 原文链接：ELF文件格式分析 0x00 简介 可执行链接格式(Executable and Linking Format)最初是由 UNIX 系统实验室(UNIX System Laboratories，USL)开...
ELF文件格式（一）--ELF文件头
落寞微蓝
12-11 1935
ELF文件格式(一)--ELF文件头 1.ELF文件     ELF文件有三种类型：relocatable file、executable file和shared object file。     relocatable file：可重定位的目标文件，可以和其他目标文件链接成可执行的目标文件或共享目标文件。     executable file：可执行的目标文件，通过exec函数
《操作系统真象还原》第三篇：解析ELF文件头，加载内核
m0_61722509的博客
01-08 1071
然后在开启分页后，解析内核文件，并跳转进内核执行。program header结构如下。elf header中的数据类型。初始内核很简单，就是一个无限循环。通过以下命令编译、链接并写入硬盘。elf header结构如下。首先将内核从硬盘读入内存。
ELF节头表分析
astrotycoon
12-20 3059
Sections 节 An object file's section header table lets one locate all the file's sections. The section header table is an array of Elf32_Shdr or Elf64_Shdr structures as described below. A section hea...
ELF文件结构描述
游手好弦 信步涂鸦
08-11 3198
3.4 ELF文件结构描述　　我们已经通过SimpleSection.o的结构大致了解了ELF文件的轮廓，接着就来看看ELF文件的结构格式。图3-4描述的是ELF目标文件的总体结构，我们省去了ELF一些繁琐的结构，把最重要的结构提取出来，形成了如图3-4所示的ELF文件基本结构图，随着我们讨论的展开，ELF文件结构会在这个基本结构之上慢慢变得复杂起来。    ELF目标文件格式的最前部是ELF文件头(ELF Header)，它包含了描述整个文件的基本属性，比如ELF文件版本、目标机器型号、程序入口地址等。紧
评论 2
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值