ELF文件格式概要介绍

最新推荐文章于 2024-09-20 12:10:16 发布
最新推荐文章于 2024-09-20 12:10:16 发布
阅读量2.5k 收藏 4
点赞数 2
分类专栏： ARM 文章标签： header file 工具 linker processing table

ELF 文件有三种类型：可重定位文件：也就是通常称的目标文件，后缀为.o。共享文件：也就是通常称的库文件，后缀为.so。可执行文件：本文主要讨论的文件格式，总的来说，可执行文件的格式与上述两种文件的格式之间的区别主要在于观察的角度不同：一种称为连接视图（Linking View），一种称为执行视图（Execution View）。
一个典型的ELF文件有两种描述视图:program header和section header.
program header:是对程序运行时所使用的段的描述.
section header:    是对所有二进制段的描述.
每一个ELF文件是由一个ELF 文件头(ELF header)和其余的文件数据构成.这些文件数据包括一下一些内容:
·Program header table 描述0个或是多个段(segments)
·Section header table, 描述0个或是多个节(sections)
·要写到上面两个表中的数据.
段(segments)包含的是程序运行是必要的信息
节(sections)包含的是链接和重定向时所需要的重要数据
同一时间整个文件中的每个beyt不会属于一个以上的段,但是也可以存在不属于任何段的字节.



ELF文件分析工具:
readelfis:    是一个unix下的二进制工具,用来显示一个或多个ELF文件的信息.
elfdump:    是一个Solaris命令,用来查看单个ELF文件的信息.
objdump:     可以查看ELF文件或是其它对象格式的更多信息.

ELF文件头的描述:
typedef struct elf32_hdr{
unsigned char e_ident[EI_NIDENT];//魔数和相关信息
Elf32_Half    e_type;        //文件类型
Elf32_Half    e_machine;    //针对体系结构
Elf32_Word   e_version;    //版本信息
Elf32_Addr   e_entry;        //Entry point 程序入口点
Elf32_Off         e_phoff;        //程序头偏移量
Elf32_Off         e_shoff;        //节偏移量
Elf32_Word   e_flags;        //处理器特定标志
Elf32_Half    e_ehsize;    //文件头长度
Elf32_Half    e_phentsize;//程序头部长度
Elf32_Half    e_phnum;    //程序头部个数
Elf32_Half    e_shentsize;//节头部长度
Elf32_Half    e_shnum;    //节头部个数
Elf32_Half    e_shstrndx;    //节头部字符索引
} Elf32_Ehdr;
e_ident [0]-e_ident[3]包含了ELF文件的魔数，依次是0x7f、'E'、'L'、'F'。注意，任何一个ELF 文件必须包含此魔数。e_ident[4]表示硬件系统的位数，1代表32位，2代表64位。 e_ident[5] 表示数据编码方式，1代表小印第安排序（最大有意义的字节占有最低的地址），2代表大印第安排序（最大有意义的字节占有最高的地址）。e_ident [6]指定ELF头部的版本，当前必须为1。e_ident[7]到e_ident[14]是填充符，通常是0。ELF格式规范中定义这几个字节是被忽略的，但实际上是这几个字节完全可以可被利用。如有些病毒设置 e_ident[7]为0x21,表示本文件已被感染；或者存放可执行代码。ELF头部中大多数字段都是对子头部数据的描述，其意义相对比较简单。值得注意的是某些病毒可能修改字段e_entry（程序进入点）的值，以指向病毒代码.下面是用readelf工具读取的一个elf文件文件头.使用命令"readelf -h hello"即可.
helight@helight-desktop:~/linux/do-while$ readelf -h hello
ELF Header:
Magic:   7f 45 4c 46 01 01 01 00 00 00 00 00 00 00 00 00
Class:                             ELF32
Data:                              2's complement, little endian
Version:                           1 (current)
OS/ABI:                            UNIX - System V
ABI Version:                       0
//以上是对魔数的解释
Type:                              EXEC (Executable file)
Machine:                           Intel 80386
Version:                           0x1
Entry point address:               0x80482f0
Start of program headers:          52 (bytes into file)
Start of section headers:          3220 (bytes into file)
Flags:                             0x0
Size of this header:               52 (bytes)
Size of program headers:           32 (bytes)
Number of program headers:         7
Size of section headers:           40 (bytes)
Number of section headers:         36
Section header string table index: 33
helight@helight-desktop:~/linux/do-while$
对应上面的数据结构可以很清楚的理解这里读取的文件头.

紧接ELF头部的是程序头表，它是一个结构数组，包含了ELF头表中字段e_phnum定义的条目，结构描述一个段或其他系统准备执行该程序所需要的信息。
ELF文件程序头的描述
typedef struct elf32_phdr{
Elf32_Word    p_type;        //段类型
Elf32_Off         p_offset;    //段位置相对于文件开始处的偏移量
Elf32_Addr    p_vaddr;    //段在内存中地址
Elf32_Addr    p_paddr;    //段的物理地址
Elf32_Word    p_filesz;    //段在文件中的长度
Elf32_Word    p_memsz;    //段在内存中的长度
Elf32_Word    p_flags;    //段标志
Elf32_Word    p_align;    //段在内存中的对齐标志
} Elf32_Phdr
下面是用readelf工具读取的一个elf文件程序头.使用命令"readelf -l hello"即可.
helight@helight-desktop:~/linux/do-while$ readelf -l hello

Elf file type is EXEC (Executable file)    //文件类型
Entry point 0x80482f0    //程序入口点
There are 7 program headers, starting at offset 52    //有7个程序头,偏移量52
//7个程序头: PHDR,INTERP,LOAD,LOAD,DYNAMIC,NOTE,GUN_STACK
Program Headers:
Type        Offset   VirtAddr   PhysAddr   FileSiz MemSiz Flg Align
PHDR       0x000034 0x08048034 0x08048034 0x000e0 0x000e0 R E 0x4
INTERP      0x000114 0x08048114 0x08048114 0x00013 0x00013 R   0x1
      [Requesting program interpreter: /lib/ld-linux.so.2]
LOAD    0x000000 0x08048000 0x08048000 0x00474 0x00474 R E 0x1000
LOAD   0x000474 0x08049474 0x08049474 0x0010c 0x00110 RW 0x1000
DYNAMIC   0x000488 0x08049488 0x08049488 0x000d0 0x000d0 RW 0x4
NOTE     0x000128 0x08048128 0x08048128 0x00020 0x00020 R   0x4
GNU_STACK 0x000000 0x00000000 0x00000000 0x00000 0x00000 RW 0x4

Section to Segment mapping://节到段的映射
Segment Sections...
   00    
   01     .interp
   02     .interp .note.ABI-tag .hash .gnu.hash .dynsym .dynstr .gnu.version .gnu.version_r .rel.dyn .rel.plt .init .plt .text .fini .rodata .eh_frame
   03     .ctors .dtors .jcr .dynamic .got .got.plt .data .bss
   04     .dynamic
   05     .note.ABI-tag
   06    
helight@helight-desktop:~/linux/do-while$
对一个ELF可执行程序而言，一个基本的段是标记p_type为PT_INTERP的段，它表明了运行此程序所需要的程序解释器（/lib/ld- linux.so.2），实际上也就是动态连接器（dynamic linker）。最重要的段是标记p_type为PT_LOAD的段，它表明了为运行程序而需要加载到内存的数据。查看上面实际输入，可以看见有两个可 LOAD段，第一个为只读可执行（FLg为R E）,第二个为可读可写（Flg为RW）。
段1包含了文本节.text，注意到ELF文件头部中程序进入点的值为0x80482f0，正好是指向节. text在内存中的地址。段二包含了数据节.data，此数据节中数据是可读可写的，相对的只读数据节.rodata包含在段1中。
在I386平台LINUX系统下，用命令file查看一个ELF可执行程序的可能输出是：
helight@helight-desktop:~/linux/do-while$ file hello
hello: ELF 32-bit LSB executable, Intel 80386, version 1 (SYSV), for GNU/Linux 2.6.8, dynamically linked (uses shared libs), not stripped

一下是用readelf工具查看的一些段信息
Section Headers:
[Nr] Name              Type    Addr     Off    Size   ES Flg Lk Inf Al
[ 0]                   NULL     00000000 000000 000000 00      0   0 0
[ 1] .interp           PROGBITS 08048114 000114 000013 00   A 0   0 1
[ 2] .note.ABI-tag     NOTE     08048128 000128 000020 00   A 0   0 4
[ 3] .hash             HASH    08048148 000148 000028 04   A 5   0 4
[ 4] .gnu.hash      GNU_HASH 08048170 000170 000020 04   A 5   0 4
[ 5] .dynsym     DYNSYM 08048190 000190 000050 10   A 6   1 4
[ 6] .dynstr       STRTAB    080481e0 0001e0 00004a 00   A 0   0 1
[ 7] .gnu.version VERSYM    0804822a 00022a 00000a 02   A 5   0 2
[ 8] .gnu.version_r    VERNEED 08048234 000234 000020 00   A 6   1 4
[ 9] .rel.dyn          REL    08048254 000254 000008 08   A 5   0 4
[10] .rel.plt          REL    0804825c 00025c 000018 08   A 5 12 4
[11] .init             PROGBITS 08048274 000274 000030 00 AX 0   0 4
[12] .plt              PROGBITS 080482a4 0002a4 000040 04 AX 0   0 4
[13] .text             PROGBITS 080482f0 0002f0 00014c 00 AX 0   0 16
[14] .fini             PROGBITS 0804843c 00043c 00001c 00 AX 0   0 4
[15] .rodata          PROGBITS 08048458 000458 000015 00   A 0   0 4
[16] .eh_frame        PROGBITS 08048470 000470 000004 00   A 0   0 4
[17] .ctors           PROGBITS 08049474 000474 000008 00 WA 0   0 4
[18] .dtors          PROGBITS 0804947c 00047c 000008 00 WA 0   0 4
[19] .jcr             PROGBITS 08049484 000484 000004 00 WA 0   0 4
[20] .dynamic        DYNAMIC 08049488 000488 0000d0 08 WA 6   0 4
[21] .got             PROGBITS 08049558 000558 000004 04 WA 0   0 4
[22] .got.plt       PROGBITS 0804955c 00055c 000018 04 WA 0   0 4
[23] .data         PROGBITS 08049574 000574 00000c 00 WA 0   0 4
[24] .bss         NOBITS   08049580 000580 000004 00 WA 0   0 4
[25] .comment   PROGBITS 00000000 000580 000126 00      0   0 1
[26] .debug_aranges PROGBITS 00000000 0006a8 000050 00      0   0 8
[27] .debug_pubnames PROGBITS 00000000 0006f8 000025 00      0   0 1
[28] .debug_info    PROGBITS 00000000 00071d 0001a7 00      0   0 1
[29] .debug_abbrev   PROGBITS 00000000 0008c4 00006f 00      0   0 1
[30] .debug_line   PROGBITS 00000000 000933 000129 00      0   0 1
[31] .debug_str    PROGBITS 00000000 000a5c 0000bb 01 MS 0   0 1
[32] .debug_ranges PROGBITS 00000000 000b18 000040 00      0   0 8
[33] .shstrtab      STRTAB   00000000 000b58 000139 00      0   0 1
[34] .symtab     SYMTAB    00000000 001234 0004a0 10     35 55 4
[35] .strtab      STRTAB   00000000 0016d4 000206 00      0   0 1
Key to Flags:
W (write), A (alloc), X (execute), M (merge), S (strings)
I (info), L (link order), G (group), x (unknown)
O (extra OS processing required) o (OS specific), p (processor specific)

最后附上程序:

#include <stdio.h>

int main()
{
    printf("hello world/r/n");
return 0;
}

yyt7529
关注
专栏目录
ELF文件解析和加载(附代码)
珂珂可爱多
03-20 5万+
目录：1. elf文件基本概念2. elf文件结构3. elf文件装载4. 代码实现1.elf文件基本概念elf文件是一种目标文件格式，用于定义不同类型目标文件以什么样的格式，都放了些什么东西。主要 用于linux平台。windows下是PE/COFF格式。 可执行文件、可重定位文件(.o)、共享目标文件(.so)、核心转储文件都是以elf文件格式存...
[编译链接装载系列]之聊聊目标文件与ELF格式
Tanswer_
12-04 1327
编译器编译源代码后生成的文件叫做目标文件，从结构上讲它是已经编译后的可执行文件格式，只是还没有经过链接，其中可能有些符号或有些地址还没有调整。它本身就是按照可执行文件格式存储的，跟真正的可执行文件在结构上稍有不同。目标文件的格式：现在 PC 平台流行的可执行文件格式主要是 Windows 下的 PE（ Portable Executable，可移植可执行 ） 和 Linux 的 ELF（ Execu
ELF文件
weixin_33736649的博客
08-13 83
ELF文件格式是一个开发标准，各种UNIX系统的可执行文件都采用ELF格式，它有三种不同的类型： 可重定位的目标文件 可执行文件 共享库 现在分析一下上一篇文章中经过汇编之后生成的目标文件max.o和链接之后生成的可执行文件max的格式，从而理解汇编、链接和加载执行的过程。 一、目标文件 ELF文件格式提供了两种不同的视角，在汇编器和链接器看来,ELF文件是由Section H...
elf文件详解
面向命运编程
09-20 578
elf是标准的 ELF 文件扩展名，包含可执行代码和调试信息。.o是目标文件扩展名，通常也是 ELF 格式的一部分。.so和 .a分别是动态链接库和静态库的扩展名，在链接过程中使用。在实际开发中，最常见的 ELF 文件扩展名是 .elf，但是基于具体的编译器和开发环境，扩展名可能会有所不同。
ELF文件结构
青帝的专栏
10-20 748
<br />Linux可执行文件为ELF格式，ELF格式文件主要分为以下几类：<br />1．  可重定位文件（Relocatable File），这类文件包含了代码和数据，可以被用来链接成可执行文件或共享目标文件，静态链接库也可以归为这一类，如.o文件。<br />2．  可执行文件（Executable File），这类文件包含了直接执行的程序，如/bin/bash等。<br />3．  共享目标文件（Shared Object File），链接器可以使用这种文件跟其他的可重定位文件和共享目标文件链接，
ELF文件格式概述
rdstwww的专栏
01-20 690
一、ELF文件格式概述 1. ELF文件 ELF：Executable and Linking Format，是一种对象文件的格式，用于定义不同类型的对象文件(Object files)中都放了什么东西、以及都以什么样的格式去放这些东西。 2. 三种类型 （1）可重定位文件 编译器和汇编器创建运行前需要被链接器处理 （2）可执行文件 完成了所有重定位工作和
ELF文件详解
PeakJin的博客
03-28 2万+
一、ELF概述 1、ELF的定义 ELF（Executable and Linkable Format）文件是一种目标文件格式，常见的ELF格式文件包括：可执行文件、可重定位文件(.o)、共享目标文件(.so)、核心转储文件等。 ELF主要用于Linux平台，Windows下是PE/COFF格式。 2、ELF文件的结构 一个完整的ELF文件一般会包括如下几个内容：ELF头、Section头、Segment头和Section。 其中由Section头组成的集合称为Section头表，...
Android so(ELF) 文件解析
l0neman 的博客
11-21 3325
文章目录前言生成 so 文件相关工具objdumpreadelf整体结构图头部结构段表结构字符串表结构程序表结构符号表结构重定位表结构其他结构解析代码打开 ELF 文件检查 ELF 文件解析 ELF 头部结构解析段描述表结构解析字符串表打印段描述表结构解析符号字符串表解析程序头表解析段解析符号表解析重定位表测试解析源码参考 前言 ELF 是一种可执行文件的格式，全称是 Executable and Linkable Format，即可执行和链接格式，它是 Unix/Linux 系统下的二进制文件的标准格式，
iOS安全逆向之旅---逆向基本知识概要介绍
尼古拉斯.赵四的博客
07-20 2394
一、应用发布 二、应用加壳 三、应用文件说明(ipa/app) Mach-O 四、OC语言介绍 五、证书说明
Linux环境下汇编语言初学者指南
最新发布
10-14
内容概要：详细讲述了Linux下汇编的基本概念以及如何编写首个‘Hello, World!’汇编程序，包括必要的工具包安装流程及其使用指导，从编辑源码、汇编编译再到运行程序的具体步骤被逐一呈现出来，特别提醒了关于系统...
STM32_Smart_v2_Skeleton:STM32CubeMX（STM32 Cube MX）概要文件和STM32 Smart v2板的源代码（STM32F103C8T6 ARM STM32最小系统开发板）-System source code development
03-24
该存储库包含STM32CubeMX（STM32 Cube MX）概要文件以及为STM32 Smart v2板（配置了所有外围设备）生成的源代码。 （noname中国制造商的STM32F103C8T6 ARM STM32最小系统开发板） 这个 用法 照常导入并与SW4STM32...
ELF目标文件概述
qq_44707791的博客
11-20 531
ELF目标文件概述 目标文件分为三种：可重定位目标文件，可执行目标文件和共享目标文件。Linux中使用ELF格式 （举例的两个.c文件：） /* main.c */ /* $begin main */ int sum(int *a, int n); int array[2] = {1, 2}; int main() { int val = sum(array, 2); ret...
ELF文件结构描述
guozuofeng的博客
10-27 143
参考链接：https://www.cnblogs.com/linhaostudy/p/8855238.html
ELF文件格式
Dremi的专栏
10-15 2100
ELF文件格式 •目标文件有三种类型： – 可重定位文件（Relocatable File） 包含适合于与其他目标文件链接来创建可执行文件或者共享目标文件的代码和数据。 – 可执行文件（Executable File） 包含适合于执行的一个程序，此文件规定了 exec()
《程序员的自我修养》读书笔记：ELF文件结构描述
Allblues57的专栏
03-09 942
用readelf命令详细查看ELF文件 Entry point address: 0x0 入口地址，规定ELF程序的入口虚拟地址，OS在加载完该程序后从这个地址开始执行进程的指令。 可重定位文件(Type: REL)一般没有入口地址，则这个值为0. Start of section headers: 280(bytes into file) 段表在文件中的偏移。 --------...
ELF文件介绍
二进制模----细微行动改变影响世界
07-12 4051
https://blog.csdn.net/GrayOnDream/article/details/124564129
ELF 文件格式
热门推荐
Projectsauron 的博客
09-05 3万+
ELF 是一种常用的可执行文件和可链接库格式。它是一种通用的二进制文件格式，用于在 Unix 和类 Unix 系统上进行可执行文件和库的存储和传输。
ELF文件格式深度解析与应用
文档首先介绍了ELF文件格式的基本规范，强调了它在不同硬件环境下的灵活性和适应性。 文档接着详细讲解了ELF文件的结构，包括： 1. **目标文件中的数据表示**：描述了二进制数据如何在文件中组织，以支持不同架构...
评论 3
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值