elf 文件格式解析

最新推荐文章于 2023-03-21 07:28:44 发布
最新推荐文章于 2023-03-21 07:28:44 发布
阅读量553 收藏
点赞数
分类专栏： Linux 文章标签： c++
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/rubikchen/article/details/124363510
版权

  1. elf案例解析

    • 源代码

      int main() {
   asm("movl $42, %ebx \n\t"
       "movl $1 , %eax \n\t"
       "int $0x80      \n\t");
}

    • 链接代码

      MEMORY {
   CODE (R!X) :  ORIGIN = 0x200300 , LENGTH = 16M
}
SECTIONS
{
  .text 0x200400 : { *(.text) } > CODE
  "/DISCARD/" : { *(*) }
}

    • makefile

      .PHONY:all clean

ENTRY=-e main

all:
       gcc -fno-builtin -c test.c -o test.o -g
       ld -T link.lds test.o -g -o ad.out $(ENTRY)

clean:
       rm -f test.o *.out

    • hexdump -C ad.out

      00000000  7f 45 4c 46 02 01 01 00  00 00 00 00 00 00 00 00  |.ELF............|
00000010  02 00 3e 00 01 00 00 00  00 04 20 00 00 00 00 00  |..>....... .....|
00000020  40 00 00 00 00 00 00 00  38 04 00 00 00 00 00 00  |@.......8.......|
00000030  00 00 00 00 40 00 38 00  02 00 40 00 05 00 02 00  |....@.8...@.....|
00000040  01 00 00 00 05 00 00 00  00 00 00 00 00 00 00 00  |................|
00000050  00 00 20 00 00 00 00 00  00 00 20 00 00 00 00 00  |.. ....... .....|
00000060  17 04 00 00 00 00 00 00  17 04 00 00 00 00 00 00  |................|
00000070  00 00 20 00 00 00 00 00  51 e5 74 64 06 00 00 00  |.. .....Q.td....|
00000080  00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 00  |................|
*
000000a0  00 00 00 00 00 00 00 00  10 00 00 00 00 00 00 00  |................|
000000b0  00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 00  |................|
*
00000400  55 48 89 e5 bb 2a 00 00  00 b8 01 00 00 00 cd 80  |UH...*..........|
00000410  b8 00 00 00 00 5d c3 00  2e 73 79 6d 74 61 62 00  |.....]...symtab.|
00000420  2e 73 74 72 74 61 62 00  2e 73 68 73 74 72 74 61  |.strtab..shstrta|
00000430  62 00 2e 74 65 78 74 00  00 00 00 00 00 00 00 00  |b..text.........|
00000440  00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 00  |................|
*
00000470  00 00 00 00 00 00 00 00  1b 00 00 00 01 00 00 00  |................|
00000480  06 00 00 00 00 00 00 00  00 04 20 00 00 00 00 00  |.......... .....|
00000490  00 04 00 00 00 00 00 00  17 00 00 00 00 00 00 00  |................|
000004a0  00 00 00 00 00 00 00 00  01 00 00 00 00 00 00 00  |................|
000004b0  00 00 00 00 00 00 00 00  11 00 00 00 03 00 00 00  |................|
000004c0  00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 00  |................|
000004d0  17 04 00 00 00 00 00 00  21 00 00 00 00 00 00 00  |........!.......|
000004e0  00 00 00 00 00 00 00 00  01 00 00 00 00 00 00 00  |................|
000004f0  00 00 00 00 00 00 00 00  01 00 00 00 02 00 00 00  |................|
00000500  00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 00  |................|
00000510  78 05 00 00 00 00 00 00  78 00 00 00 00 00 00 00  |x.......x.......|
00000520  04 00 00 00 04 00 00 00  08 00 00 00 00 00 00 00  |................|
00000530  18 00 00 00 00 00 00 00  09 00 00 00 03 00 00 00  |................|
00000540  00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 00  |................|
00000550  f0 05 00 00 00 00 00 00  0d 00 00 00 00 00 00 00  |................|
00000560  00 00 00 00 00 00 00 00  01 00 00 00 00 00 00 00  |................|
00000570  00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 00  |................|
*
00000590  00 00 00 00 03 00 01 00  00 04 20 00 00 00 00 00  |.......... .....|
000005a0  00 00 00 00 00 00 00 00  01 00 00 00 04 00 f1 ff  |................|
000005b0  00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 00  |................|
000005c0  00 00 00 00 04 00 f1 ff  00 00 00 00 00 00 00 00  |................|
000005d0  00 00 00 00 00 00 00 00  08 00 00 00 12 00 01 00  |................|
000005e0  00 04 20 00 00 00 00 00  17 00 00 00 00 00 00 00  |.. .............|
000005f0  00 74 65 73 74 2e 63 00  6d 61 69 6e 00           |.test.c.main.|
000005fd

  2. 分析

    • 分析程序

      #include<stdio.h>
#include<elf.h>
int main() {
  FILE * fp = fopen("../ldmemory/ad.out","rb");
  char s[2048];
  fread(s,1,2048,fp);
  Elf64_Ehdr* hdr;
  Elf64_Shdr* sdr;
  Elf64_Phdr* pdr;
  *(char**)&hdr = s;
  int a;
  return 0;
}

      • 主要是包含相关的结构体

    • 调试

      (gdb) p *(Elf64_Ehdr*)(s)
$17 = {e_ident = "\177ELF\002\001\001\000\000\000\000\000\000\000\000", e_type = 2,
 e_machine = 62, e_version = 1, e_entry = 2098176, e_phoff = 64, e_shoff = 1080,
 e_flags = 0, e_ehsize = 64, e_phentsize = 56, e_phnum = 2, e_shentsize = 64, e_shnum = 5,
 e_shstrndx = 2}
(gdb) p *(Elf64_Phdr*)(s + 64)
$18 = {p_type = 1, p_flags = 5, p_offset = 0, p_vaddr = 2097152, p_paddr = 2097152,
 p_filesz = 1047, p_memsz = 1047, p_align = 2097152}
(gdb) p *(Elf64_Phdr*)(s + 64 + 56)
$19 = {p_type = 1685382481, p_flags = 6, p_offset = 0, p_vaddr = 0, p_paddr = 0,
 p_filesz = 0, p_memsz = 0, p_align = 16}
(gdb) p *(Elf64_Shdr*)(s + 1080)
$20 = {sh_name = 0, sh_type = 0, sh_flags = 0, sh_addr = 0, sh_offset = 0, sh_size = 0,
 sh_link = 0, sh_info = 0, sh_addralign = 0, sh_entsize = 0}
(gdb) p *(Elf64_Shdr*)(s + 1080 + 64)
$21 = {sh_name = 27, sh_type = 1, sh_flags = 6, sh_addr = 2098176, sh_offset = 1024,
 sh_size = 23, sh_link = 0, sh_info = 0, sh_addralign = 1, sh_entsize = 0}
(gdb) p *(Elf64_Shdr*)(s + 1080 + 64 + 64)
$22 = {sh_name = 17, sh_type = 3, sh_flags = 0, sh_addr = 0, sh_offset = 1047, sh_size = 33,
 sh_link = 0, sh_info = 0, sh_addralign = 1, sh_entsize = 0}
(gdb) p *(Elf64_Shdr*)(s + 1080 + 64 + 64 + 64)
$23 = {sh_name = 1, sh_type = 2, sh_flags = 0, sh_addr = 0, sh_offset = 1400, sh_size = 120,
 sh_link = 4, sh_info = 4, sh_addralign = 8, sh_entsize = 24}
(gdb) p *(Elf64_Shdr*)(s + 1080 + 64 + 64 + 64 + 64)
$24 = {sh_name = 9, sh_type = 3, sh_flags = 0, sh_addr = 0, sh_offset = 1520, sh_size = 13,
 sh_link = 0, sh_info = 0, sh_addralign = 1, sh_entsize = 0}

      • elf标准头，头长sizeof,即e_phoff,长64

      • program header则是+64位置。program header有e_phnum=2个，一个长e_phentsize=56字节(Program Header ENTry SIZE)。

      • section header则是1080位置。共有e_shnum个section header，一个长e_shentsize=64字节。字符串表（字符串存储位置）在第e_shstrndx=2或者类型sh_type=3的那一个也可以。

      • sh_offset表示对应section的数据位置,sh_size表示数据长度。有其他的属性，sh_name则表示在shstrtable的起始位置的第n个。

    • 最终结果

      0 - 40 ehdr
40 - b0 phdr

b0   400  -- file 0

400 - 417 -- section1
417 - 438 -- section2
438 - 578 -- sections
578 - 5f0 -- section3
5f0 - 5fd -- section4

      • 40这些都是16进制数，方便对照上面的hexdump查看结果。

      • *表示的这些范围内的数据都是0

      (gdb) x /32xb s+128
0x7fffffffde10: 0x00    0x00    0x00    0x00    0x00    0x00    0x00    0x00
0x7fffffffde18: 0x00    0x00    0x00    0x00    0x00    0x00    0x00    0x00
0x7fffffffde20: 0x00    0x00    0x00    0x00    0x00    0x00    0x00    0x00
0x7fffffffde28: 0x00    0x00    0x00    0x00    0x00    0x00    0x00    0x00
(gdb) x /64xb s+176
0x7fffffffde40: 0x00    0x00    0x00    0x00    0x00    0x00    0x00    0x00
0x7fffffffde48: 0x00    0x00    0x00    0x00    0x00    0x00    0x00    0x00
0x7fffffffde50: 0x00    0x00    0x00    0x00    0x00    0x00    0x00    0x00
0x7fffffffde58: 0x00    0x00    0x00    0x00    0x00    0x00    0x00    0x00
0x7fffffffde60: 0x00    0x00    0x00    0x00    0x00    0x00    0x00    0x00
0x7fffffffde68: 0x00    0x00    0x00    0x00    0x00    0x00    0x00    0x00
0x7fffffffde70: 0x00    0x00    0x00    0x00    0x00    0x00    0x00    0x00
0x7fffffffde78: 0x00    0x00    0x00    0x00    0x00    0x00    0x00    0x00

      • 可以看到都是0

502203305
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
ELF解析
u011337769的博客
07-26 666
了解了elf文件格式之后，最好的方式就是手动写一个自动解析elf文件的工具，目的在于进一步熟悉elf文件格式，然后进行思考后大致思路如下:     0x0.设计界面     对于界面设计，采用了QT的设计师，快速构建满足需求的界面     0x1.解析文件头     从文件中读取二进制数据保存再全局buf中，首先需要判断魔数，为elf文件则继续解析，再根据结构进行读取 /* The EL
elf文件结构解析
qq_31121045的博客
08-02 1219
elf文件解析1、ELF文件结构格式：2、ELF头文件解析：3、ELF段表： 1、ELF文件结构格式： ELF Header .text .data .bss … section header table string tables symbol tables … elf文件头包含了整个文件的基本属性，如文件版本，入口地址等，接着就是ELF文件的各个...
ELF文件解析器
K1052176873的博客
02-11 4264
前言 最近选了Linux内核原理的选修课，虽然因为课时比较短涉及到的内容只能涵盖Linux知识的一小部分，但是老师的水平确实很高，讲的知识也很深入，这次布置的小作业是编写Linux平台下的C语言程序实现如下功能： 模仿实现Linux下readelf工具的部分功能，能够对ELF可执行文件进行简单分析。（至少支持readelf工具的-h、-S、-s三个命令选项功能） 关于原理部分自认为没有能力和大佬们讲得一样透彻清楚，所以参考文章链接贴在了文章的末尾，看了一定就会明白的。 1.ELF文件介绍 在 Linux 系
ELF文件格式解析
云守护的专栏
06-23 6260
转自：http://zke1ev3n.me/2015/12/15/ELF%E6%96%87%E4%BB%B6%E6%A0%BC%E5%BC%8F%E8%A7%A3%E6%9E%90/ —本文基本的内容都是来源于《程序员的自我修养》，之所以摘录下来是为了方便查阅，还有一部分表格是来源于滕启明写的《ELF文件格式分析》。顺便安利一下这本书，是本程序员必读的好书，看了好几遍，每次看都有新收获。
ELF文件解析
classdota的博客
08-10 1017
1. ELF文件简介 首先，你需要知道的是所谓对象文件(Object files)有三个种类： 可重定位的对象文件(Relocatable file) 这是由汇编器汇编生成的 .o 文件。后面的链接器(link editor)拿一个或一些 Relocatable object ...
写一个简单程序解析ELF
Beautiful Attack and Defence
03-04 1316
最近学习elf文件格式，感觉写一个程序会更印象深刻，牢固。于是便开工，程序很简单，写了3个part的，包括ELF_header，P_Header&Section_Header，目前对ELF格式是很熟悉了，基本目的达到了。然后在写的过程中拿了一本elf的手册以及非虫的android elf格式附图。过程中发现了图中的两处错误，.interp段多框了一个字节，另外section name string
ELF文件格式分析.pdf
04-21
藤启明
《ELF文件格式分析.pdf》与elf解析代码
03-22
以下是对`ELF文件格式分析.pdf`文档中可能涵盖的关键知识点的详细说明，以及对`readelf.c`源代码的简单介绍。 1. **ELF文件结构**：ELF文件由多个头和段组成，包括 Elf Header（文件头）、Program Headers（程序头...
ELF 文件格式分析（北京大学实验室出的标准版）
03-19
通过学习这份文档，读者可以掌握如何读取和解析ELF文件，理解动态链接机制，以及如何利用ELF格式进行程序调试和分析。 总之，对ELF文件格式有深入的理解对于系统级编程、逆向工程、软件调试以及优化都是至关重要的...
elf文件格式解析
PwnGuo的博客
05-20 5972
linux 恶意软件研究相关工具 及下载地址：https://remnux.org/docs/distro/tools/ 系统: Sysdig（https://pkgs.org/download/sysdig）Unhide（取消隐藏） 反汇编: Vivisect, Udis86, objdump 调试工具: Evan’s Debugger (EDB), GNU Project Debugge...
ELF解析工具 v1.7（elf格式解析工具)
11-05
支持全部ELF类型解析。支持32位/64位elf文件自适应解析、可解析elf文件头、程序头、节头、字符表、符号表、hash表、版本定义表、版本依赖表、动态信息表等。 更多详细介绍请访问：https://blog.csdn.net/tanming1987/article/details/126445826 可以解析linux及大部分嵌入式的编译输出文件，如gcc、keil mdk、iar、ccs等编译器的输出文件格式均为ELF。
分析ELF的加载过程
xu的blog
04-08 2727
导读： 　　ELF的可执行文件与共享库在结构上非常类似,它们具有一张程序段表,用来描述这些段如何映射到进程空间. 　　对于可执行文件来说,段的加载位置是固定的,程序段表中如实反映了段的加载地址.对于共享库来说,段的加载位置是浮动的,位置无关的,程序段表反映的是以0作为基准地址的相对加载地址.尽管共享库的连接是不充分的,为了便于测试动态链接器,Linux允许直接加载共享库运行.如果应用程序具
ELF文件解析和加载(附代码)
热门推荐
珂珂可爱多
03-20 4万+
目录：1. elf文件基本概念2. elf文件结构3. elf文件装载4. 代码实现1.elf文件基本概念elf文件是一种目标文件格式，用于定义不同类型目标文件以什么样的格式，都放了些什么东西。主要 用于linux平台。windows下是PE/COFF格式。 可执行文件、可重定位文件(.o)、共享目标文件(.so)、核心转储文件都是以elf文件格式存...
ELF文件中符号的动态解析过程
u011673554的博客
09-11 1168
本文引用并修改了http://jzhihui.iteye.com/blog/1447570 中的动态链接部分，然后加了自己的理解和注释。 用来测试的C代码为：/* hello.c */ #include <stdio.h> int main() { printf(“hello world!\n”); return 0; } $ gcc –o hello hello.c当执行一个用户
ELF文件解析 ELF File Parsing
Grxer的博客
03-21 585
​实验材料：010editor readelf objdump linux_ls文件(x86-64)资料讲解32位elf，实验解析64位elfls文件信息链接：https://pan.baidu.com/s/17ElUYwRhtW0eRRED4SgNDA提取码：ldss。
elf文件解析(cpp版）
weixin_33958585的博客
06-29 372
Elf.h #ifndef H_ELF_PARSER #define H_ELF_PARSER #include <iostream> #include <string> #include <cstdlib> #include <cstdio> #include <fcntl.h> /* O_RDONLY */ #include &...
ELF&PE 文件结构分析
Always On The Way
11-01 2241
ELF&amp;PE 文件结构分析 说简单点，ELF 对应于UNIX 下的文件，而PE 则是Windows 的可执行文件，分析ELF 和 PE 的文件结构，是逆向工程，或者是做调试，甚至是开发所应具备的基本能力。在进行逆向工程的开端，我们拿到ELF 文件，或者是PE 文件，首先要做的就是分析文件头，了解信息，进而逆向文件。不说废话，开始分析： ELF和PE 文件都是基于Unix 的 COFF(...
elf文件格式分析 滕启明 .pdf
最新发布
01-23
elf文件格式是一种可执行和链接文件的标准格式，被广泛应用于Linux系统中。在滕启明的.pdf文件中，他详细分析了elf文件格式的结构和特点。 首先，elf文件包含了程序的代码、数据和其他相关信息，它由多个段（section）组成，每个段负责存储特定类型的信息，比如代码段、数据段、符号表段等。滕启明的分析中指出，elf文件的头部包含了文件的基本信息，如文件类型、目标体系结构、入口地址等。 其次，滕启明指出elf文件具有良好的灵活性和可移植性，能够在不同的系统上运行，这得益于elf文件格式的设计理念和结构。他提到elf文件采用了可扩展的标记（tag）机制，可以在文件中携带各种扩展信息，这为程序的调试、优化和分析提供了便利。 此外，滕启明还分析了elf文件的重定位、动态链接、符号表等方面的内容，深入探讨了elf文件格式在实际编程和系统运行中的作用和影响。他的研究对于理解elf文件格式的原理和应用具有很大的参考价值，也有助于开发人员更好地理解和利用elf文件来实现程序的开发和部署。总的来说，滕启明的.pdf文件详尽地解析了elf文件格式的关键要素和内部机制，对于学习和应用elf文件格式的读者具有很高的参考和学习价值。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值