实践2.4 ELF文件格式分析
实践2.4 ELF文件格式分析
1.ELF文件头
查看/usr/include/elf.h文件：
#define EI_NIDENT (16)
typedef struct
{
unsigned char e_ident[EI_NIDENT]; /* 魔数和其他信息 */
Elf32_Half e_type; /* 目标文件类型 */
Elf32_Half e_machine; /* 硬件平台 */
Elf32_Word e_version; /* elf头部版本 */
Elf32_Addr e_entry; /* 程序进入点 */
Elf32_Off e_phoff; /* 程序头表偏移量 */
Elf32_Off e_shoff; /* 节头表偏移量 */
Elf32_Word e_flags; /* 处理器特定标志 */
Elf32_Half e_ehsize; /* elf头部长度 */
Elf32_Half e_phentsize; /* 程序头表中一个条目的长度 */
Elf32_Half e_phnum; /* 程序头表条目数目 */
Elf32_Half e_shentsize; /* 节头表中一个条目的长度 */
Elf32_Half e_shnum; /* 节头表条目数目 */
Elf32_Half e_shstrndx; /* 节头表字符索引 */
} Elf32_Ehdr;
typedef struct
{
unsigned char e_ident[EI_NIDENT]; /* Magic number and other info */
Elf64_Half e_type; /* Object file type */
Elf64_Half e_machine; /* Architecture */
Elf64_Word e_version; /* Object file version */
Elf64_Addr e_entry; /* Entry point virtual address */
Elf64_Off e_phoff; /* Program header table file offset */
Elf64_Off e_shoff; /* Section header table file offset */
Elf64_Word e_flags; /* Processor-specific flags */
Elf64_Half e_ehsize; /* ELF header size in bytes */
Elf64_Half e_phentsize; /* Program header table entry size */
Elf64_Half e_phnum; /* Program header table entry count */
Elf64_Half e_shentsize; /* Section header table entry size */
Elf64_Half e_shnum; /* Section header table entry count */
Elf64_Half e_shstrndx; /* Section header string table index */
} Elf64_Ehdr;
2.查看相关信息
以实践2.3中的passwd.c为例：
gcc -c passwd.c -o passwd.o //生成汇编文件
hexdump -x passwd.o //查看十六进制信息
objdump –x passwd.o //查看段信息
readelf -a passwd.o //查看段信息
使用objdump命令结果如下：
使用readelf命令结果如下：
文件头：
段表：
符号表：
3.具体分析
3.1 文件头分析
32位的elf文件头大小是52字节，如下：
第一行实际内容为7f45 4c46 0101 0100 0000 0000 0000 0000
前四个字节7f45 4c46（0x45，0x4c，0x46是’e','l','f'对应的ASCII）是个魔数（magic number)，表示这是一个ELF对象，接下来的一个字节10表示是一个32位对象（如果是64位的对象是02），再接下来的一个字节01表示采用小端法表示，再接下来的一个字节01表示文件头版本，剩下的默认都设置为0。
第二行：
e_type 2字节 0x0001 表示重定位文件
e_machine 2字节 0x0003 表示386体系文件
e_version 4字节 0x00000001 表示是当前版本
e_entry 4字节 0x00000000 表示程序入口地址（无）
第三行：
e_phoff 4字节 0x00000000 表示程序头表的偏移地址（无）
e_shoff 4字节 0x0000018c 表示段表偏移地址
e_flags 4字节 0x00000000 表示处理器特定标志（未知）
e_ehsize 2字节 0x0034 表示elf头部长度
e_phentsize 2字节 0x0000 表示程序头表中一个条目的长度
e_phnum 2字节 0x0000 表示程序头表条目数目（0）
e_shentsize 2字节 0x0028 表示每个节头表条目的大小（0x28）
e_shnum 2字节 0x000d 表示节头表条目数（13）
e_shstrndx 2字节 0x000a 表示节头表字符索引（10）
由以上可知，节头表从0x0000018c处开始，每个节区大小为0x28，一共有13个节区，第0xa是段表索引号。
3.2 节区：
第一节区：0x18c-0x1b3
第二节区：0x1b4-0x1db
第三节区：0x1dc-0x203
第四节区：0x204-0x22b
第五节区：0x22c-0x253
第六节区：0x254-0x27b
第七节区：0x27c-0x2a3
第八节区：0x2a4-0x2cb
第九节区：0x2cc-0x2f3
第十节区：0x2f4-0x31b
第十一节区：0x31c-0x343
第十二节区：0x344-0x36b
第十三节区：0x36c-0x393
3.3 节头表
typedef struct
{
Elf32_Word sh_name; /* 节名在字符表中的索引 */
Elf32_Word sh_type; /* 小节的类型 */
Elf32_Word sh_flags; /* 小节属性 */
Elf32_Addr sh_addr; /* 节在运行时的虚拟地址 */
Elf32_Off sh_offset; /* 小节的文件偏移 */
Elf32_Word sh_size; /* 小节的大小 */
Elf32_Word sh_link; /* 链接的另外一小节的索引 */
Elf32_Word sh_info; /* 附加的小节信息 */
Elf32_Word sh_addralign; /* 小节对齐 */
Elf32_Word sh_entsize; /* 固定大小的入口的表 */
} Elf32_Shdr;
也就是说，在得出上一步的每一个节区的节头表内容后 ，就可以按照这个表来查找到具体段的段偏移sh_offset和段大小sh_offset。
查看的命令：
readelf命令
readelf –S passwd.o //查看段表中中存放的所有的节头
如要查看.text段，因为对应的索引为1，所以输入：
readelf -x 1 passwd.o
hexdump命令
查阅得知，.text的偏移量是0x34=52，大小是0x65=101
hexdump –s 52 –n 101 –C passwd.o
![enter description here][22]
3.4 理解常见段
-
.text section
可执行指令的集合，.data和.text都是属于PROGBITS类型的section，这是将来要运行的程序与代码。 -
.strtab section
属于STRTAB类型，可以在文件中看到，储存着符号的名字。 -
.symtab section
存放所有section中定义的符号名字，比如“data_items”，“start_loop”，是属于SYMTAB类型，它描述了.strtab中的符号在“内存”中对应的“内存地址”。 -
.rodata section
ro代表read only，即只读数据(const)。[22]：http://images2015.cnblogs.com/blog/744668/201606/744668-20160602202840649-457861662.png
