通过读取maps信息获取可执行文件头装载的地址

最新推荐文章于 2025-06-12 19:17:52 发布

原创

最新推荐文章于 2025-06-12 19:17:52 发布 · 686 阅读

0 ·

CC 4.0 BY-SA版权

本文探讨了通过分析maps文件来获取进程的文件头和段表的方法。作者在实践中遇到文件头读取错误的问题，发现在64位系统中，maps文件存在多个段，尤其是权限为`r-xp`的代码段之前还有一个`rw-p`的段。通过尝试固定值，发现大部分数据匹配，但部分数据不一致，原因是未正确处理`ptrace`读取的字节数。最后，作者发现错误源于在64位环境下用8字节变量存储4字节数据，修正后数据匹配成功。

1. 通过maps文件获取进程的文件头和段表

想要实现这一功能，根据书上所写，首先要找到代码段的首地址BaseVaddr，然后文件头就从这个地址开始，用ptrace从这个地址读一个sizeof(Elf64_Ehdr)大小的数据出来就可以了

但是，我在实现的时候遇到的一个问题，读出来的结果压根不对，其结果如下所示

$ sudo ./reconstruct 12127
BaseVaddr: 0x401000
ELF header:

magic:    f3 f 1e fa ff ff ff ff 48 8b 5 e9 ff ff ff ff 
 Type:                               c085
 Machine:                            274
 Version:                            0
 Entry point address:                c308c4
 Start of Program header:            2fe235ff
 Size of program header:             65535 (bytes)
 Number of Program headers:          61952
 Size of section header:             57833 (bytes)
 Number of Section headers:          65535
 Section