看开源代码如何解析ELF文件

最新推荐文章于 2025-03-02 00:00:01 发布

原创

最新推荐文章于 2025-03-02 00:00:01 发布 · 3.6k 阅读

2 ·

CC 4.0 BY-SA版权

本文使用开源工具ROPgadget来分析ELF文件格式，重点探讨了ELF的魔数、Class位、字节序、段数量、段表偏移、段表描述符大小以及Segment偏移等关键信息，揭示了如何根据这些信息解读和处理ELF文件。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

工具ROPgadget

在ROPgadget中有识别并分析多种文件结构，这次主要用这个功能来分析ELF文件格式。

分析的文件为libc.so

上代码

class Binary:
    def __init__(self, options):
        self.__fileName  = options.binary
        self.__rawBinary = None
        self.__binary    = None
        
        try:
            fd = open(self.__fileName, "rb")
            self.__rawBinary = fd.read()
            fd.close()
        except:
            print("[Error] Can't open the binary or binary not found")
            return None

        if   options.rawArch and options.rawMode:
             self.__binary = Raw(self.__rawBinary, options.rawArch, options.rawMode)
        elif self.__rawBinary[:4] == unhexlify(b"7f454c46"):
             self.__binary = ELF(self.__rawBinary)
        elif self.__rawBinary[:2] == unhexlify(b"4d5a"):
             self.__binary = PE(self.__rawBinary)
        elif self.__rawBinary[:4] == unhexlify(b"cafebabe"):
             self.__binary = UNIVERSAL(self.__rawBinary)
        elif self.__rawBinary[:4] == unhexlify(b"cefaedfe") or self.__rawBinary[:4] == unhexlify(b"cffaedfe"):
             self.__binary = MACHO(self.__rawBinary)
        else:
            print("[Error] Binary format not supported")
            return None

在binary.py中进行文件类型判定，ELF文件最开始四个字节‘7f454c46’

class ELFFlags:
    ELFCLASS32  = 0x01
    ELFCLASS64  = 0x02
    EI_CLASS    = 0x04
    EI_DATA     = 0x05
    ELFDATA2LSB = 0x01
    ELFDATA2MSB = 0x02
    EM_386      = 0x03
    EM_X86_64   = 0x3e
    EM_ARM      = 0x28
    EM_MIPS     = 0x08
    EM_SPARCv8p = 0x12
    EM_PowerPC  = 0x14
    EM_ARM64    =