Linux 下的可执行文件格式 ELF 全解析

最新推荐文章于 2025-04-29 15:53:47 发布

原创最新推荐文章于 2025-04-29 15:53:47 发布

· 1.6k 阅读

29 ·

版权

文章标签：

#linux #服务器

网络安全专栏收录该内容

788 篇文章

订阅专栏

Linux 下的可执行文件格式 ELF 全解析

在 Linux 系统中，ELF（Executable and Linkable Format）是一种广泛使用的可执行文件格式。它不仅仅用于存储可执行程序，还包括共享库、目标文件等。ELF 格式为 Linux 系统提供了一种标准化的方式来组织和加载程序代码与数据，使得程序能够在 Linux 环境中高效地运行。

一、ELF 格式概述

（一）ELF 文件类型

ELF 文件主要有三种类型：

可重定位文件（Relocatable File）：包含代码和数据，可以与其他目标文件合并，创建可执行文件或共享目标文件。例如，在编译过程中生成的.o文件就是可重定位文件。
可执行文件（Executable File）：可以直接在系统上运行的文件，包含了程序执行的入口点以及运行所需的代码和数据。
共享目标文件（Shared Object File）：也称为共享库，在程序运行时可以被动态加载和链接，多个进程可以共享同一个共享库，节省内存空间。例如，常见的.so文件就是共享目标文件。

（二）ELF 文件结构

ELF 文件由多个部分组成，主要包括：

ELF 头（ELF Header）：位于文件开头，包含了 ELF 文件的基本信息，如文件类型、目标机器架构、ELF 版本等。
程序头表（Program Header Table）：描述了可执行文件在内存中的布局，包括段（Segment）的信息，如代码段、数据段等。每个段包含了一些属性，如段的类型、在文件中的偏移、在内存中的虚拟地址、段的大小等。
节头表（Section Header Table）：包含了各个节（Section）的信息，如节的名称、类型、在文件中的偏移、节的大小等。节是 ELF 文件中最小的可编址单位，例如代码节、数据节、符号表节等。
数据区（Data Sections）：包含程序的代码、全局变量、字符串常量等实际数据。

（三）ELF 文件的加载过程

当一个 ELF 可执行文件被加载到内存中时，首先读取 ELF 头，获取文件的基本信息，包括文件类型、目标架构等。
根据程序头表中的信息，将各个段加载到内存中的相应位置。例如，代码段被加载到只读的内存区域，数据段被加载到可读写的内存区域。
进行动态链接（如果程序依赖于共享库），操作系统会根据程序头表中的动态链接信息，查找并加载所需的共享库。
最后，将程序的入口点地址设置到指令指针寄存器（如 x86 架构中的 EIP 寄存器），开始执行程序。

二、查看 ELF 文件信息

在 Linux 系统中，可以使用一些工具来查看 ELF 文件的详细信息。

（一）使用`readelf`工具

readelf是一个非常强大的工具，可以显示 ELF 文件的各种信息。例如，要查看一个可执行文件test的 ELF 头信息，可以使用以下命令：

readelf -h test

输出结果将显示 ELF 头的各个字段，如魔数（Magic）、文件类型（Class、Data、Version 等）、入口点地址（Entry point address）、程序头表的偏移（Start of program headers）等。

（二）使用`objdump`工具

objdump工具不仅可以反汇编 ELF 文件中的代码，还可以查看文件的头部信息等。要查看test文件的所有节头信息，可以使用：

objdump -h test

这将列出文件中每个节的名称、大小、在文件中的偏移以及在内存中的地址等信息。

（三）使用`nm`工具

nm工具主要用于查看 ELF 文件中的符号表。符号表包含了程序中定义的函数、变量等符号的信息。例如，查看test文件中的符号表：

nm test

输出结果将显示符号的名称、类型（如函数、变量等）以及符号所在的地址或节等信息。

三、ELF 文件的编程操作

在实际编程中，有时需要对 ELF 文件进行操作，例如读取 ELF 文件中的特定信息、修改 ELF 文件的某些部分等。下面是一个简单的 C 语言示例，演示如何使用libelf库来读取 ELF 文件的头部信息。

（一）安装`libelf`库

首先，需要确保系统中安装了libelf库。在大多数 Linux 发行版中，可以使用包管理器进行安装。例如，在 Debian/Ubuntu 系统中，可以使用以下命令安装：

sudo apt-get install libelf-dev

（二）编写代码

以下是一个简单的 C 程序，用于读取 ELF 文件的头部信息：

#include <stdio.h>
#include <elf.h>
#include <libelf.h>

int main(int argc, char *argv[]) {
    if (argc!= 2) {
        printf("Usage: %s <elf_file>\n", argv[0]);
        return 1;
    }

    Elf *elf = elf_begin(open(argv[1], O_RDONLY), ELF_C_READ, NULL);
    if (!elf) {
        printf("Error opening ELF file: %s\n", argv[1]);
        return 1;
    }

    Elf32_Ehdr *ehdr = elf32_getehdr(elf);
    if (!ehdr) {
        printf("Error getting ELF header\n");
        elf_end(elf);
        return 1;
    }

    printf("ELF Header:\n");
    printf("  Magic:   ");
    for (int i = 0; i < EI_NIDENT; i++) {
        printf("%02x ", ehdr->e_ident[i]);
    }
    printf("\n");
    printf("  Class:                             %s\n", ehdr->e_ident[EI_CLASS] == ELFCLASS32? "ELF32" : "ELF64");
    printf("  Data:                              %s\n", ehdr->e_ident[EI_DATA] == ELFDATA2LSB? "2's complement, little endian" : "2's complement, big endian");
    printf("  Version:                           %d\n", ehdr->e_ident[EI_VERSION]);
    printf("  OS/ABI:                            %d\n", ehdr->e_ident[EI_OSABI]);
    printf("  ABI Version:                       %d\n", ehdr->e_ident[EI_ABIVERSION]);
    printf("  Type:                              %d\n", ehdr->e_type);
    printf("  Machine:                           %d\n", ehdr->e_machine);
    printf("  Version:                           %d\n", ehdr->e_version);
    printf("  Entry point address:               0x%x\n", ehdr->e_entry);
    printf("  Start of program headers:          %d (bytes into file)\n", ehdr->e_phoff);
    printf("  Start of section headers:          %d (bytes into file)\n", ehdr->e_shoff);
    printf("  Flags:                             0x%x\n", ehdr->e_flags);
    printf("  Size of this header:               %d (bytes)\n", ehdr->e_ehsize);
    printf("  Size of program headers:           %d (bytes)\n", ehdr->e_phentsize);
    printf("  Number of program headers:         %d\n", ehdr->e_phnum);
    printf("  Size of section headers:           %d (bytes)\n", ehdr->e_shentsize);
    printf("  Number of section headers:         %d\n", ehdr->e_shnum);
    printf("  Section header string table index: %d\n", ehdr->e_shstrndx);

    elf_end(elf);

    return 0;
}