ELF文件浅析

最新推荐文章于 2025-03-29 01:01:10 发布
最新推荐文章于 2025-03-29 01:01:10 发布
阅读量1k 收藏
点赞数 5
分类专栏： 深入linux
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.youkuaiyun.com/jiewaikexue/article/details/110183919
版权
本文介绍了ELF文件的相关知识，包括gcc编译过程、虚拟地址空间分布、ELF文件的组成部分如首部、段表和节表的详细解析，以及如何使用readelf等命令进行查看。还探讨了ELF装载流程和coredump文件的分析。

摘要生成于 C知道 ，由 DeepSeek-R1 满血版支持， 前往体验 >

文章目录

知识回顾

gcc过程

上一篇博客讲述过c程序的启动和终止:

gcc -v 查看完整的gcc过程
在这里插入图片描述

ld 为链接器
as 为汇编器

gcc相关命令:

转载优秀博客

选项功能文件后缀
-o指定输出文件的文件名称
-E生成预处理之后的文件xxxx.i
-S生成编译之后的文件(汇编代码)xxxx.s
-c将汇编代码转换成机器语言,暨生成目标文件xxxx.o
-g生成可供gdb调试的文件

注意: 总结：在编译过程中。除非使用了"-c"，“-S”,或"-E"选项(或者编译错误阻止了完整的过程)，否则统一完整链接步骤。
GCC -O 四级优化

-O0不做任何优化，这是默认的编译选项。
-O1优化会消耗少多的编译时间，它主要对代码的分支，常量以及表达式等进行优化。
-O2会尝试更多的寄存器级的优化以及指令级的优化，它会在编译期间占用更多的内存和编译时间。
-O3在O2的基础上进行更多的优化

gcc相关文件

在这里插入图片描述
.o文件: object file 目标文件

动态库文件在这里插入图片描述

在这里插入图片描述
他们有一个共同的特点: ELF

虚拟地址空间分布

一张图
在这里插入图片描述

ELF文件有哪些

在这里插入图片描述

在这里插入图片描述
使用file 命令 查看相关文件

ELF结构

优秀博客:https://blog.youkuaiyun.com/daide2012/article/details/73065204
使用readelf 命令 读取elf文件
ELF文件分为4部分

  1. ELF首部
ELF的文件头中定义了ELF魔数 、 文件机器字节长度、数据存储方式、
 版本、 运行平台、 ABI版本、 ELF重定位类型、 硬件平台、
  硬件平台版本、入口地址、 程序头入口和长度、 段表的位置和长度及段的数量等
  1. 程序首部表(段表): "段"是程序运行时的概念
    段表是从加载器角度出发查看的表`
段表是ELF文件中除了文件头以外最重要的结构，
它描述了 ELF的各个段的信息，比如每个段的段名、段的长度、
在文件中的偏移、读写权限及段的其他属性。
也就是说，ELF文件的段结构就是由段表决定的，
编译器、链接器和装载器都是依靠段表来定位和访问各个段的属性的。
  1. 节
  2. 节首部表(节表): 节是程序连接时的概念
    节表是才能够汇编器和链接器角度出发查看的表

注意: ELF首部位置固定,其余各部分的位置 有ELF首部信息指定查找地址

在这里插入图片描述
在这里插入图片描述

ELF首部

百度百科 ELF首部

#define EI_NIDENT 16
　　typedef struct{
　　unsigned char e_ident[EI_NIDENT];    16字节魔数字
　　Elf32_Half e_type;					elf文件类型
　　Elf32_Half e_machine;				机器类别
　　Elf32_Word e_version;				版本
　　Elf32_Addr e_entry;					程序入口虚拟地址
　　Elf32_Off e_phoff;					段表地址偏移
　　Elf32_Off e_shoff;					节表地址偏移
　　Elf32_Word e_flags;
　　Elf32_Half e_ehsize;					elf头长度
　　Elf32_Half e_phentsize;				段表长度
　　Elf32_Half e_phnum;					段表项目数量
　　Elf32_Half e_shentsize;				节表长度
　　Elf32_Half e_shnum;					节表项目数量
　　Elf32_Half e_shstrndx;				节名称字符串在节表中的索引
　　}Elf32_Ehdr;

readelf -h
在这里插入图片描述

ELF魔数

unsigned char e_ident[EI_NIDENT]; 16字节魔数字

总计16个字节: 4+1+1+1+9=16

  1. 前4字节: 固定 0x7f 0x45 0x4C 0x46
  2. 第五字节:ELF文件类别 1表示32位 2表示 64位
  3. 第6字节: 表示机器大小端
  4. 第7字节: ELF文件版本号

段表

段:是从程序运行时的角度出发的概念
readelf -l hellow
在这里插入图片描述
上述各段组成了最终在内存中执行的程序 其还提供了各段在虚拟地址空间和物理地址空间中的大小、位置、标志、访问授权和对齐方面的信息。各段语义如下：

PHDR: 保存程序头表

INTERP: 指定程序从可行性文件映射到内存之后，必须调用的解释器，它是通过链接其他库来满足未解析的引用，用于在虚拟地址空间中插入程序运行所需的动态库。

LOAD: 表示一个需要从二进制文件映射到虚拟地址空间的段，其中保存了常量数据（如字符串），程序目标代码等。

DYNAMIC: 段保存了由动态连接器（即INTERP段中指定的解释器）使用的信息

节表

节;是从程序连接时的角度出发的概念
readelf -s hellow
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

节表的结构

节表的本质是一个数组

所以在elf头那里有
　
Elf32_Off e_shoff; 节表地址偏移
Elf32_Half e_shentsize; 节表长度
Elf32_Half e_shnum; 节表项目数量

节表元素的结构
在这里插入图片描述

节的name

常见的

  1. .bss: 未初始化全局变量,和未初始化静态变量
  2. .text: 代码段
  3. .date: 存放已初始化全局变量和已初始化静态变量

不常见的
在这里插入图片描述

相关命令行

readse:

1.readelf -h :查看elf头的内容
2.readelf -l :查看段表
3. readelf -S : 查看节表
size:它可以用来查吞 ELF 文件的代码段、数据段和 BSS的长度
在这里插入图片描述
objdump

objdump -s:参数可以将所有段的内容以十六进制的方式打印出来，
objdump -d :可以将所有包含指令的段反汇编。 在这里插入图片描述
在这里插入图片描述

查看某个节的内容来看变量

在这里插入图片描述
在这里插入图片描述
##coredump文件
当程序运行的过程中异常终止或崩溃，操作系统会将程序当时的内存状态记录下来，保存在一个文件中，这种行为就叫做Core Dump（中文有的翻译成“核心转储”)。core dump 对于编程人员诊断和调试程序是非常有帮助的，因为对于有些程序错误是很难重现的，例如指针异常，而 core dump 文件可以再现程序出错时的情景。

回顾 wait/waitpid 韩那书返回值中, 低八位 的最高位 有一个coredump标志位

使用readelf查看coredump文件
readelf -S gdb
在这里插入图片描述

在这里插入图片描述
可以看到多了很多.debug段

使用strip 命令 可以去除掉调试信息. 并且文件大小也会明显减小

ELF装载流程

举例: 即将装载程序 A

  1. 读取A文件,检查前四个字节 ,看是否是ELF文件

ELF头,在ELF文件的最开始,并且ELF文件的最开始16字节是ELF魔数

  1. 读取程序A的段表,并在A的段表中查找解释器段

段表是加载器查找的表

  1. 从解释器段读取到解释器文件名,并打开解释器,然后读取并检查解释器文件的ELF首部

解释器也是一个ELF文件

  1. 读取解释器的段表
  2. 调用相关函数,终止线程组其他线程,设置内存映射布局,确定用户栈空间.
  3. 把所有可以加载的段,加载到进程的虚拟地址空间
  4. 得到程序入口

elf头部,有程序入口

Android中ELF文件结构浅析(二)
lzheibai1的博客
01-24 1552
根据上一篇的 elf header 分析，我们知道program header table 的起始位置是 0x40，其中每个表项的大小相同。上图黑色背景的内容是和蓝色背景的内容都是程序头表的表项。
Android中ELF文件结构浅析(四)
lzheibai1的博客
01-29 637
索引值从 0 开始计数，但值为 0 的表项（即第一项）并没有实际的意义，它表示未定义的符号。但它并不是一个字符串，而是一个指向字符串表的索引值，在字符串表中对应位置上的字符串就是该符号名字的实际文本。在可执行文件和共享库文件中，st_value 不再是一个节内的偏移量，而是一个虚拟地址，直接指向符号所在的内存位置。各种符号的大小各不相同，比如一个对象的大小就是它实际占用的字节数。偏移开始的位置是从 .dynstr 节 ( 进行动态链接所需的字符串，通常是表示与符号表各项关联的名称的字符串。
Linux-ELF文件详解
05-21
很详细的一份针对于elf格式文件的技术文档，对于想更深层次的了解Linux的朋友们相信会有很大帮助的
linux下的core dump功能的开启
weixin_45045399的博客
10-10 620
1.基本概念 当程序运行的过程中异常终止或崩溃，操作系统会将程序当时的内存状态记录下来，保存在一个文件中，这种行为就叫做Core Dump（中文有的翻译成“核心转储”)。我们可以认为 core dump 是“内存快照”，但实际上，除了内存信息之外，还有些关键的程序运行状态也会同时 dump 下来，例如寄存器信息（包括程序指针、栈指针等）、内存管理信息、其他处理器和操作系统状态和信息。core du...
【Linux内核系列】：文件ELF格式详解
最新发布
2301_80260194的博客
03-29 2001
一文详解Linux的文件的ELF格式！
linux中core dump开启使用教程【转】
weixin_33749242的博客
02-07 940
转自：http://www.111cn.net/sys/linux/67291.htm 一、什么是coredump 我们经常听到大家说到程序core掉了，需要定位解决，这里说的大部分是指对应程序由于各种异常或者bug导致在运行过程中异常退出或者中止，并且在满足一定条件下（这里为什么说需要满足一定的条件呢？下面会分析）会产生一个叫做core的文件。 通常情况下，core文件会包含了程序运行时的...
Linux启用 core dump
Jia__XianSheng的博客
02-24 724
Linux启用 core dump linux开启永久coredump： vi /etc/profile 进入编辑模式 在文件最后加入： ulimit -c unlimited 保存退出,在命令行运行 source /etc/profile使配置生效 ulimit -a可以查看是否开启成功，0代表未开启，unlimited代表已开启 查看core文件目录：cat /proc/sys/kernel/core_pattern ...
ELF文件详解—初步认识
热门推荐
daide2012的博客
06-11 9万+
讲解ELF文件格式，目标文件再不同的系统或平台上具有不同的命名格式，在Unix和X86-64 Linux上称为ELF(Executable and Linkable Format, ELF)。 ELF文件格式提供了两种不同的视角，在汇编器和链接器看来，ELF文件是由Section Header Table描述的一系列Section的集合，而执行一个ELF文件时，在加载器（Loader）看来它是由Program Header Table描述的一系列Segment的集合
Android中ELF文件结构浅析(三)
lzheibai1的博客
01-25 1399
在目标文件中可以包含很多“节”(section)，所有这些“节”都登记在一张称为 “节头表”(section header table)的数组里。通过每一个表项可以定位到对应的节。
浅析ELF中的GOT与PLT
_wells的博客
03-28 1万+
一、ELF简介 现在PC平台流行的可执行文件格式主要是Windows 下的PE（portable Executable） 和Linux的ELF（Excutable Linkable Format）。   编译器编译源代码后生成的文件叫做目标文件，从目标文件的结构上讲， 它是已经编译后的可执行文件格式，只是还没有链接的过程，其中可能有些符号或有些地址还没有被调整。其实它本身就
浅析 Keil 中的 sct 文件
Projectsauron 的博客
09-29 1万+
当工程按默认配置构建时，MDK 会根据我们选择的芯片型号，获知芯片的内部 FLASH 及内部 SRAM 存储器概况，生成一个以工程名命名的后缀为*.sct的分散加载文件()，链接器根据该文件的配置分配各个节区地址，生成分散加载代码，因此我们通过修改该文件可以定制具体节区的存储位置。可以设置源文件中定义的所有变量自动按地址分配到外部 SDRAM，这样就不需要再使用关键字按具体地址来指定了；
ELF文件格式详解
06-01
这是一一篇讲解Linux文件格式的文档，通过此文档，可以很好的了解，Linux文件格式，以及对于编译链接，都很有帮助，想要学习文件系统的也可以参考此文档
ELF文件格式详解（中文）
11-28
详细介绍了ELF文件结构，基于 ELF 规范 v1.2 版本 ，作者：赵凤阳，比较详细，不可多得。
Linux 打开core dump功能
weixin_33991727的博客
10-10 361
系统打开core dump功能 在终端中输入命令ulimit -c，输出的结果为 0，说明默认是关闭 core dump 的，即当程序异常终止时，也不会生成 core dump 文件； 使用命令ulimit -c unlimited来开启 core dump 功能，并且不限制 core dump 文件的大小； 如果需要限制文件的大小，将 unlimited 改成你想生成 c...
Linux开启coredump
zhongyiqun123的博客
07-25 2339
在Linux系统中，C/C++程序崩溃是常见的问题之一。Coredump是指当一个程序崩溃时，系统把程序运行时的内存数据以二进制文件的形式保存下来，以便程序开发者进行崩溃分析。本文将介绍如何开启并配置Coredump。
Linux中core dump开启使用教程
weixin_43313046的博客
04-24 2519
core文件会包含了程序运行时的内存，寄存器状态，堆栈指针，内存管理信息还有各种函数调用堆栈信息等，我们可以理解为是程序工作当前状态存储生成第一个文件，许多的程序出错的时候都会产生一个core文件，通过工具分析这个文件，我们可以定位到程序异常退出的时候对应的堆栈调用等信息，找出问题所在并进行及时解决。程序由于各种异常或者bug导致在运行过程中异常退出或者中止，会产生一个叫做core的文件。四、设置生成 core文件的名称和生成路径。三、创建存放 core文件的文件夹。五、快速验证是否能生成core文件。
Linux开启coredump功能
wojiaxiaohuang2014的博客
11-22 4384
Linux离调试之coredump功能开启
打开core-dump功能
Msxiexie的博客
03-12 584
无
【Linux】进程信号中的 core dump 标记位
一点一点变好
08-06 1451
进程信号中的 core dump 标记位
深入理解ELF文件格式指南
由于标签是“elf文件”，可以推断文档将围绕ELF文件的定义、格式、结构、应用场景、以及如何解析和操作ELF文件进行讲解。这对于那些希望通过手动或使用工具分析和修改ELF文件的开发者来说是非常有价值的。 压缩包...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值