使用c语言的分析elf文件的代码,Android逆向进阶-ELF文件分析（3）

最新推荐文章于 2021-06-09 10:34:12 发布
最新推荐文章于 2021-06-09 10:34:12 发布
阅读量267 收藏
点赞数
文章标签： 使用c语言的分析elf文件的代码

0x00 前言

内容

1.Program Headers 程序分析

2.Section 分析

3.字符串表

4.符号表

0x01 Program Headers 分析

首先来看一个结构体

typedef struct {

Elf32_Word p_type;

Elf32_Off p_offset;

Elf32_Addr p_vaddr;

Elf32_Addr p_paddr;

Elf32_Word p_filesz;

Elf32_Word p_memsz;

Elf32_Word p_flags;

Elf32_Word p_align;

} Elf32_phdr;

p_type

描述段的类型，或者如何解释此数组元素的信息。

o_1c7ogfkp313tl1s1s10ml1e7m9upa.png-j.jpg

010 Editor分析

o_1c7ogkkju1f9o11c8mii1r66icra.png-j.jpg

使用c语言实现程序编写。

o_1c7oic3qtstu19qo1sh6hpinp0a.png-j.jpg

printf("--------第%d个Program Headers--------\n",1);

printf("p_type:");

for (i = 0; i < 4; i++)

{

c = fgetc(fp);

j = c;

hex_str = inttohex(j);

h1[i] = j;

if (j < 9){

printf("0%s ", hex_str);

}

else

{

printf("%s ", hex_str);

}

}

E_type(h1[0]);

p_offset

此成员给出从文件头到该段第一个字节的偏移。

010 editor 分析

o_1c7oitdhl3rs15vicfs1spv1cf9a.png-j.jpg

c语言分析

o_1c7oiv86o1bl147m1qo81uu43tia.png-j.jpg

printf("p_offset:");

for (i = 0; i < 4; i++)

{

c = fgetc(fp);

j = c;

hex_str = inttohex(j);

h1[i] = j;

if (j < 9){

printf("0%s ", hex_str);

}

else

{

printf("%s ", hex_str);

}

}

printf("(%s H)", inttohex(h1[0]));

p_vaddr

此成员给出段的第一个字节将被放到内存中的虚拟地址。

010 editor 对比分析

o_1c7oj5nac1bnt1cjq5uf1cs14hqa.png-j.jpg

c语言分析

o_1c7ojcc1f6451um11gkgskqkd7a.png-j.jpg

关键代码

printf("p_vaddr:");

for (i = 0; i < 4; i++)

{

c = fgetc(fp);

j = c;

hex_str = inttohex(j);

h1[i] = j;

if (j < 9){

printf("0%s ", hex_str);

}

else

{

printf("%s ", hex_str);

}

}

printf("(%s H)\n", inttohex(h1[0]));

p_paddr

此成员仅用于与物理地址相关的系统中。因为 System V 忽略所有应用程序的物理地址信息，此字段对与可执行文件和共享目标文件而言具体内容是未指定的。

010 Editor 对比分析

o_1c7ojiknb3h1n3g1hmshbj1pmma.png-j.jpg

c语言代码：

和上面一样继续向下读取就可以了。

p_filesz

此成员给出段在文件映像中所占的字节数。可以为 0

010 editor

o_1c7ojq5cf3l0l0791o1q7k1lmsa.png-j.jpg

c语言程序展示。

o_1c7oko52uta31d68673ncp9lja.png-j.jpg

关键代码：

printf("p_filesz:");

for (i = 0; i < 4; i++)

{

c = fgetc(fp);

j = c;

h1[i] = j;

hex_str = inttohex(j);

if (j < 9){

if (j >= 0){

printf("0%s ", hex_str);

}

else

{

j = 256 + j;

h1[i] = j;

if (i == 0)

{

j1 = j;

}

hex_str = inttohex(j);

if (j<9)

printf("0%s ", hex_str);

else

printf("%s ", hex_str);

}

}

else

{

printf("%s ", hex_str);

}

}

hex_str = inttohex(h1[1]);

printf("(");

if (h1[1] < 9){

if (h1[1] >= 0){

printf("0%s", hex_str);

}

else

{

h1[1] = 256 + h1[1];

hex_str = inttohex(h1[1]);

if (h1[1]<9)

printf("0%s", hex_str);

else

printf("%s", hex_str);

}

}

else

{

printf("%s", hex_str);

}

hex_str = inttohex(h1[0]);

if (h1[0] < 9){

if (h1[0] >= 0){

printf("0%s", hex_str);

}

else

{

h1[0] = 256 + h1[0];

hex_str = inttohex(h1[0]);

if (h1[0]<9)

printf("0%s", hex_str);

else

printf("%s", hex_str);

}

}

else

{

printf("%s", hex_str);

}

printf(" H)\n");

p_memsz

此成员给出段在内存映像中占用的字节数。可以为 0。

010 editor

o_1c7oks0qb1p86e421rpe8dq1vhea.png-j.jpg

c语言核心代码

printf("p_memsz:");

for (i = 0; i < 4; i++)

{

c = fgetc(fp);

j = c;

h1[i] = j;

hex_str = inttohex(j);

if (j < 9){

if (j >= 0){

printf("0%s ", hex_str);

}

else

{

j = 256 + j;

h1[i] = j;

if (i == 0)

{

j1 = j;

}

hex_str = inttohex(j);

if (j<9)

printf("0%s ", hex_str);

else

printf("%s ", hex_str);

}

}

else

{

printf("%s ", hex_str);

}

}

hex_str = inttohex(h1[1]);

printf("(");

if (h1[1] < 9){

if (h1[1] >= 0){

printf("0%s", hex_str);

}

else

{

h1[1] = 256 + h1[1];

hex_str = inttohex(h1[1]);

if (h1[1]<9)

printf("0%s", hex_str);

else

printf("%s", hex_str);

}

}

else

{

printf("%s", hex_str);

}

hex_str = inttohex(h1[0]);

if (h1[0] < 9){

if (h1[0] >= 0){

printf("0%s", hex_str);

}

else

{

h1[0] = 256 + h1[0];

hex_str = inttohex(h1[0]);

if (h1[0]<9)

printf("0%s", hex_str);

else

printf("%s", hex_str);

}

}

else

{

printf("%s", hex_str);

}

printf(" H)\n");

p_flags

此成员给出与段相关的标志。

#define PF_X        0x1 /* Executable. */

#define PF_W        0x2 /* Writable. */

#define PF_R        0x4 /* Readable. */

010 editor

o_1c7omljvr1jha1kac1gek1acdn9ia.png-j.jpg

p_align

可加载的进程段的 p_vaddr 和 p_offset 取值必须合适，相对于对页面大小的取模而言。此成员给出段在文件中和内存中如何对齐。数值 0 和 1 表示不需要对齐。否则 p_align 应该是个正整数，并且是 2 的幂次数，p_vaddr 和 p_offset 对 p_align取模后应该相等。

o_1c7omuviojj5dd11hoe1hub1ahka.png-j.jpg

总结

整个Program head 就分析完了。

o_1c7oneh1tbibdoi180hgcu1ndga.png-j.jpg

0x02 Sections

(1). 目标文件中的每个节区都有对应的节区头部描述它，反过来，有节区头部不意味着有节区。

(2). 每个节区占用文件中一个连续字节区域(这个区域可能长度0)。

(3). 文件中的节区不能重叠，不允许一个字节存在于两个节区中的情况发生。

(4). 目标文件中可能包含非活动空间(INACTIVE SPACE)。这些区域不属于任何头部和节区，其内容未指定。

1.Section head

typedef struct{

Elf32_Word sh_name;

Elf32_Word sh_type;

Elf32_Word sh_flags;

Elf32_Addr sh_addr;

Elf32_Off sh_offset;

Elf32_Word sh_size;

Elf32_Word sh_link;

Elf32_Word sh_info;

Elf32_Word sh_addralign;

Elf32_Word sh_entsize;

}Elf32_Shdr;

这里有具体的说明。

o_1c7oo9h6u147k1nmd1ecmpp3fsma.png-j.jpg

o_1c7ooad1l17fn1vujpkmdgm43oa.png-j.jpg

sh_type字段

o_1c7ooch6s1j2qdj31k5hpd2ekja.png-j.jpg

o_1c7ooddvfokv1js3k0qjrk1b3sa.png-j.jpg

还有一些特殊字节，这里就不再赘述了。有兴趣的可以自己研究一下。

0x03 字符串表

字符串表节区包含以 NULL(ASCII 码 0)结尾的字符序列，通常称为字符串。

对字符串的引用通常以字符串在字符串表中的下标给出。

一般，第一个字节(索引为 0)定义为一个空字符串。

允许存在空的字符串表节区，其节区头部的 sh_size 成员应该为 0。

0x04 符号表

使用

readelf -s 1.so

进行查看。

o_1c7ooolnph3ver3121l1o5q3ua.png-j.jpg

恩，这个留着以后有时间慢慢来分析。

2018年3月4日23:17:26退水了退水了88

天天听讼
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
【愚公系列】2023年06月 移动安全之安卓逆向（ELF文件格式详解）
时光隧道
06-11 4121
ARM平台下的反汇编可以使用一些工具，如objdump、IDA Pro等。其中，objdump是一个常用的命令行工具，可以用于反汇编ELF格式的二进制文件，提供在命令行中查看程序反汇编代码的功能。打开IDA Pro软件，并将目标二进制文件导入到IDA Pro中。点击“反汇编”按钮，进行反汇编操作。在反汇编窗口中，可以查看程序的汇编代码，在这里还可以对代码进行修改和调试。总的来说，反汇编是逆向工程中非常重要的一步，可以帮助分析二进制文件的具体实现逻辑和解决一些安全问题。
第八章 Android 原生程序开发与逆向分析（三）（原生程序文件格式）
zlmm741的博客
04-06 1029
文章目录原生程序文件格式原生程序的文件类型AArch64 ELF 文件格式e_idente_typee_machinee_versione_entrye_phoffe_shoffe_flagse_phentsize、e_phnume_shentsize、e_shnume_shstrndxProgram Header Tablep_typep_flagsp_offsetp_vaddrp_paddrp...
解析ELF可执行文件-C语言
bunner_的博客
06-09 653
解析代码 /* gcc elfparse.c -o elsparse */ #include <stdio.h> #include <string.h> #include <errno.h> #include <elf.h> #include <unistd.h> #include <stdlib.h> #include <sys/mman.h> #include <stdint.h> #include &lt
c语言分析程序,用c语言分析elf的简单程序
weixin_34584910的博客
05-17 322
这个程序用C语言分析实现了elf的header以及section header， 最后找出自定义section里面的内容。自定义section的方法我已经在上一篇“linux elf文件格式学习心得”中讲解了。源代码如下：/****************************************************************************** include h...
elf文件反编译C语言,图文并茂，讲透C语言静态链接，ELF文件篇
weixin_39603132的博客
05-18 1891
gcc生成执行文件过程为:源文件(*.c文件)编译成对象文件(*.o文件);链接程序ld，把对象文件(*.o文件)链接成可执行程序。因此要透彻链接的过程， 需要先了解对象文件(*.o文件)是怎样构成的？下面用个简单的例子来说明:#includeint global_var=5;extern int other_file_var;int main(){ int a=1;int b=a other_f...
C语言实现ELF文件解析
Yuhan的博客
06-29 6211
这学期Linux的大作业第一部分是解析64位/32位的ELF文件，这里偷了个懒只解析了ELF头、程序头表和节头表； 这里先附上代码占个坑，有时间会来补详细解释； 输入格式为ELF文件名； 程序会同时将三个解析结果打印到控制台并写入同级目录下的result.txt文件中； #include <stdio.h> #include <stdlib.h> #include <elf.h> #include <string.h> #define putline pu
elfcrunch:ELF二进制文件的逆向工程工具
05-17
Elfcrunch 我在清理一些旧硬盘时在CVS存储库中找到了这个项目。 当时，我正在通过构建逆向工程工具自学C和UNIX编程。 我与elfcrunch玩得很开心，学到了很多东西（尽管显然不是如何使用static ）。 许多代码和功能都受到启发。 我想我会把它发布到github上，以便对ELF感兴趣的人可以略读它，以便使我不断地回想这些年来我变得多么愚蠢;） Elfcrunch本质上是objdump克隆，带有一些额外的实用程序，使逆向工程更加容易。 如果已删除符号表，则objdump实用程序将不会输出符号函数名称。 显示的call操作数是PLT中的地址（我认为他们已经解决了这个问题）。 深入研究ELF规范后，我意识到可以找到与PLT地址关联的符号。 下面的所有图都是从剥离的二进制文件中构建的，它们的stdlib函数按名称显示。 objdump在模糊的二进制文件（加密的部分，非标准
C语言实现ELF文件解析.zip
最新发布
06-13
通过分析和解析ELF文件，开发者可以进行静态分析，检查代码的依赖性，甚至创建自定义的工具，如逆向工程或安全审计工具。总的来说，掌握C语言实现ELF文件解析是深入理解操作系统工作原理和提升软件开发能力的重要...
读取elf文件代码
12-06
在Linux系统中，ELF（Executable and Linkable Format）文件是一种标准的可执行文件和共享库格式。...通过这种方式，我们可以获取到关于ELF文件的详细信息，这对于调试、分析和逆向工程都是至关重要的。
ELF文件-逆向工具
heartcleaner的专栏
09-01 2696
本文转载自http://bdxnote.blog.163.com/blog/static/8444235201532911597959/ 1、ELF文件内容解析 readelf: 可解析ELF文件的所有内容; strings: 查看ELF文件中的字符串; file   : 查看ELF文件的信息; nm     : 查看ELF文件中的符号信息; ldd    : 查看ELF文件所依赖的库
ARM平台下ELF文件反汇编
05-08
作为代码插桩过程的前提，首先需要对于所提供的二进制代码进行必要的分析，了解ELF文件 的结构以及ARM平台的指令编码，将二进制01码翻译成为用户可读的汇编代码。通过对于汇 编代码的分析，用户可以得到程序应用中各个函数起始地址以及程序各个模块的流程调用等重 要信息，为代码插桩提供详细的数据。经过插桩的代码最后通过再一次汇编的过程输出到目标 文件。因此，正确、快速地进行平台下的反汇编工作显得十分关键。
反编译c语言的工具
08-05
这是一款反汇编c语言的工具，可以将由c++工具编译出来的软件反编译成c代码，非常实用
010 editor 应用templates分析ELF和dex文件
treasure_lili的博客
11-14 2293
选中templates——>New template 去官网ctrl+F搜索文件格式：http://www.sweetscape.com/010editor/repository/templates/ 全选复制，粘贴到010的template中： 保存，按F5应用到当前文件（ELF）： 官网中还有许多其他格式： ...
使用C/C++ 手动编写一个读取ELF文件的程序
忘世麒麟的专栏
07-07 5302
目标：读取 64位/32位 elf文件,打印section,segments,sectiom to segments mapping 一，elf文件解析 这部分内容请参考互联网，已经有很多博客说的很清楚了。 二，代码布局 代码非常简单，一个头文件用于声明操作的类，一个cpp文件，用于实现该类，下面先介绍一下头文件的相关声明和组成。 /***********...
C与汇编混合编程&&ELF文件格式解析
河西无名式
03-17 1742
准备工作：C与汇编的混合编程ELF文件格式解析，这是《自己动手写操作系统》第五章的准备工作，主要讲解C与汇编混合编程的一些知识，并讲解ELF文件的相关知识，为有C语言写操作系统做准备。 1.关于系统调用sys_write Linux的系统调用通过int 80h实现，用系统调用号来区分入口函数,它的作用类似与dos的中断。        mov edx, len
c语言书籍elf文件,C语言的本质（30）——C语言与汇编之ELF文件格式
weixin_30651409的博客
05-23 237
ELF(Executable and Linking Format)文件格式是一个开放标准，各类UNIX系统的可执行文件都采用ELF格式，ELF是一种对象文件的格式，用于定义不一样类型的对象文件(Object files)的内容是什么、以及都以怎样的格式去存放这些内容。它有三种不一样的类型：shell一、 可重定位的目标文件(Relocatable)编程这是由汇编器汇编生成的 .o 文件。后面的...
c语言反编译工具_Reverse 一款逆向工程工具
weixin_40001372的博客
11-18 9387
Reverse是一个用来解析二进制文件的逆向工程工具，而且它可以生成更具可读性的代码(类C语言)并带有彩色标识的语法，便于研究人员进行阅读代码。目前，其交互模式仍在做进一步开发。使用环境要求1、python 版本需要在 3.4及以上版本;2、具备capstone反汇编框架，其能提供丰富的反汇编指令;3、具备python-pyelftools模块，用于解析ELF文件(ELF文件除了机器码外...
使用C语言读取ELF文件的数据部分
ShawnHu的博客
03-19 3003
elf文件的分析，推荐此篇 测试环境： Kali Linux x64 首先生成一个小的elf文件样例： // demo.c #include <stdio.h> int main(int argc, char **argv) // 读取demo.txt文件的内容 { FILE *fp; char buff[256]; fp = fopen("demo.txt", "r")...
bin和elf文件(ARM) 五
yazhouren的专栏
06-28 1649
原文地址：http://www.iteye.com/topic/1121480 近段时间在研究Erlang核心特性的实现，也许过段时间会有个系列的总结，期待...   今天看到有人写一个深入Hello World的文章，想起来读研的时候做的一个关于程序加载和链接的课程设计，也是以Hello World为例说明的，随发出来共享。文后有下载链接。   ==================
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值