elf 文件格式解析

最新推荐文章于 2025-09-25 14:21:34 发布
原创 最新推荐文章于 2025-09-25 14:21:34 发布 · 630 阅读 · 0 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#c++

本文详细解析了一个简单的ELF文件的结构，包括源代码、链接代码、Makefile及hexdump输出。通过分析程序展示了如何使用结构体解析ELF头、程序头和节头，并在GDB中进行调试，理解其内存布局。

  1. elf案例解析

    • 源代码

      int main() {
   asm("movl $42, %ebx \n\t"
       "movl $1 , %eax \n\t"
       "int $0x80      \n\t");
}

    • 链接代码

      MEMORY {
   CODE (R!X) :  ORIGIN = 0x200300 , LENGTH = 16M
}
SECTIONS
{
  .text 0x200400 : { *(.text) } > CODE
  "/DISCARD/" : { *(*) }
}

    • makefile

      .PHONY:all clean

ENTRY=-e main

all:
       gcc -fno-builtin -c test.c -o test.o -g
       ld -T link.lds test.o -g -o ad.out $(ENTRY)

clean:
       rm -f test.o *.out

    • hexdump -C ad.out

      00000000  7f 45 4c 46 02 01 01 00  00 00 00 00 00 00 00 00  |.ELF............|
00000010  02 00 3e 00 01 00 00 00  00 04 20 00 00 00 00 00  |..>....... .....|
00000020  40 00 00 00 00 00 00 00  38 04 00 00 00 00 00 00  |@.......8.......|
00000030  00 00 00 00 40 00 38 00  02 00 40 00 05 00 02 00  |....@.8...@.....|
00000040  01 00 00 00 05 00 00 00  00 00 00 00 00 00 00 00  |................|
00000050  00 00 20 00 00 00 00 00  00 00 20 00 00 00 00 00  |.. ....... .....|
00000060  17 04 00 00 00 00 00 00  17 04 00 00 00 00 00 00  |................|
00000070  00 00 20 00 00 00 00 00  51 e5 74 64 06 00 00 00  |.. .....Q.td....|
00000080  00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 00  |................|
*
000000a0  00 00 00 00 00 00 00 00  10 00 00 00 00 00 00 00  |................|
000000b0  00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 00  |................|
*
00000400  55 48 89 e5 bb 2a 00 00  00 b8 01 00 00 00 cd 80  |UH...*..........|
00000410  b8 00 00 00 00 5d c3 00  2e 73 79 6d 74 61 62 00  |.....]...symtab.|
00000420  2e 73 74 72 74 61 62 00  2e 73 68 73 74 72 74 61  |.strtab..shstrta|
00000430  62 00 2e 74 65 78 74 00  00 00 00 00 00 00 00 00  |b..text.........|
00000440  00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 00  |................|
*
00000470  00 00 00 00 00 00 00 00  1b 00 00 00 01 00 00 00  |................|
00000480  06 00 00 00 00 00 00 00  00 04 20 00 00 00 00 00  |.......... .....|
00000490  00 04 00 00 00 00 00 00  17 00 00 00 00 00 00 00  |................|
000004a0  00 00 00 00 00 00 00 00  01 00 00 00 00 00 00 00  |................|
000004b0  00 00 00 00 00 00 00 00  11 00 00 00 03 00 00 00  |................|
000004c0  00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 00  |................|
000004d0  17 04 00 00 00 00 00 00  21 00 00 00 00 00 00 00  |........!.......|
000004e0  00 00 00 00 00 00 00 00  01 00 00 00 00 00 00 00  |................|
000004f0  00 00 00 00 00 00 00 00  01 00 00 00 02 00 00 00  |................|
00000500  00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 00  |................|
00000510  78 05 00 00 00 00 00 00  78 00 00 00 00 00 00 00  |x.......x.......|
00000520  04 00 00 00 04 00 00 00  08 00 00 00 00 00 00 00  |................|
00000530  18 00 00 00 00 00 00 00  09 00 00 00 03 00 00 00  |................|
00000540  00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 00  |................|
00000550  f0 05 00 00 00 00 00 00  0d 00 00 00 00 00 00 00  |................|
00000560  00 00 00 00 00 00 00 00  01 00 00 00 00 00 00 00  |................|
00000570  00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 00  |................|
*
00000590  00 00 00 00 03 00 01 00  00 04 20 00 00 00 00 00  |.......... .....|
000005a0  00 00 00 00 00 00 00 00  01 00 00 00 04 00 f1 ff  |................|
000005b0  00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 00  |................|
000005c0  00 00 00 00 04 00 f1 ff  00 00 00 00 00 00 00 00  |................|
000005d0  00 00 00 00 00 00 00 00  08 00 00 00 12 00 01 00  |................|
000005e0  00 04 20 00 00 00 00 00  17 00 00 00 00 00 00 00  |.. .............|
000005f0  00 74 65 73 74 2e 63 00  6d 61 69 6e 00           |.test.c.main.|
000005fd

  2. 分析

    • 分析程序

      #include<stdio.h>
#include<elf.h>
int main() {
  FILE * fp = fopen("../ldmemory/ad.out","rb");
  char s[2048];
  fread(s,1,2048,fp);
  Elf64_Ehdr* hdr;
  Elf64_Shdr* sdr;
  Elf64_Phdr* pdr;
  *(char**)&hdr = s;
  int a;
  return 0;
}

      • 主要是包含相关的结构体

    • 调试

      (gdb) p *(Elf64_Ehdr*)(s)
$17 = {e_ident = "\177ELF\002\001\001\000\000\000\000\000\000\000\000", e_type = 2,
 e_machine = 62, e_version = 1, e_entry = 2098176, e_phoff = 64, e_shoff = 1080,
 e_flags = 0, e_ehsize = 64, e_phentsize = 56, e_phnum = 2, e_shentsize = 64, e_shnum = 5,
 e_shstrndx = 2}
(gdb) p *(Elf64_Phdr*)(s + 64)
$18 = {p_type = 1, p_flags = 5, p_offset = 0, p_vaddr = 2097152, p_paddr = 2097152,
 p_filesz = 1047, p_memsz = 1047, p_align = 2097152}
(gdb) p *(Elf64_Phdr*)(s + 64 + 56)
$19 = {p_type = 1685382481, p_flags = 6, p_offset = 0, p_vaddr = 0, p_paddr = 0,
 p_filesz = 0, p_memsz = 0, p_align = 16}
(gdb) p *(Elf64_Shdr*)(s + 1080)
$20 = {sh_name = 0, sh_type = 0, sh_flags = 0, sh_addr = 0, sh_offset = 0, sh_size = 0,
 sh_link = 0, sh_info = 0, sh_addralign = 0, sh_entsize = 0}
(gdb) p *(Elf64_Shdr*)(s + 1080 + 64)
$21 = {sh_name = 27, sh_type = 1, sh_flags = 6, sh_addr = 2098176, sh_offset = 1024,
 sh_size = 23, sh_link = 0, sh_info = 0, sh_addralign = 1, sh_entsize = 0}
(gdb) p *(Elf64_Shdr*)(s + 1080 + 64 + 64)
$22 = {sh_name = 17, sh_type = 3, sh_flags = 0, sh_addr = 0, sh_offset = 1047, sh_size = 33,
 sh_link = 0, sh_info = 0, sh_addralign = 1, sh_entsize = 0}
(gdb) p *(Elf64_Shdr*)(s + 1080 + 64 + 64 + 64)
$23 = {sh_name = 1, sh_type = 2, sh_flags = 0, sh_addr = 0, sh_offset = 1400, sh_size = 120,
 sh_link = 4, sh_info = 4, sh_addralign = 8, sh_entsize = 24}
(gdb) p *(Elf64_Shdr*)(s + 1080 + 64 + 64 + 64 + 64)
$24 = {sh_name = 9, sh_type = 3, sh_flags = 0, sh_addr = 0, sh_offset = 1520, sh_size = 13,
 sh_link = 0, sh_info = 0, sh_addralign = 1, sh_entsize = 0}

      • elf标准头，头长sizeof,即e_phoff,长64

      • program header则是+64位置。program header有e_phnum=2个，一个长e_phentsize=56字节(Program Header ENTry SIZE)。

      • section header则是1080位置。共有e_shnum个section header，一个长e_shentsize=64字节。字符串表（字符串存储位置）在第e_shstrndx=2或者类型sh_type=3的那一个也可以。

      • sh_offset表示对应section的数据位置,sh_size表示数据长度。有其他的属性，sh_name则表示在shstrtable的起始位置的第n个。

    • 最终结果

      0 - 40 ehdr
40 - b0 phdr

b0   400  -- file 0

400 - 417 -- section1
417 - 438 -- section2
438 - 578 -- sections
578 - 5f0 -- section3
5f0 - 5fd -- section4

      • 40这些都是16进制数，方便对照上面的hexdump查看结果。

      • *表示的这些范围内的数据都是0

      (gdb) x /32xb s+128
0x7fffffffde10: 0x00    0x00    0x00    0x00    0x00    0x00    0x00    0x00
0x7fffffffde18: 0x00    0x00    0x00    0x00    0x00    0x00    0x00    0x00
0x7fffffffde20: 0x00    0x00    0x00    0x00    0x00    0x00    0x00    0x00
0x7fffffffde28: 0x00    0x00    0x00    0x00    0x00    0x00    0x00    0x00
(gdb) x /64xb s+176
0x7fffffffde40: 0x00    0x00    0x00    0x00    0x00    0x00    0x00    0x00
0x7fffffffde48: 0x00    0x00    0x00    0x00    0x00    0x00    0x00    0x00
0x7fffffffde50: 0x00    0x00    0x00    0x00    0x00    0x00    0x00    0x00
0x7fffffffde58: 0x00    0x00    0x00    0x00    0x00    0x00    0x00    0x00
0x7fffffffde60: 0x00    0x00    0x00    0x00    0x00    0x00    0x00    0x00
0x7fffffffde68: 0x00    0x00    0x00    0x00    0x00    0x00    0x00    0x00
0x7fffffffde70: 0x00    0x00    0x00    0x00    0x00    0x00    0x00    0x00
0x7fffffffde78: 0x00    0x00    0x00    0x00    0x00    0x00    0x00    0x00

      • 可以看到都是0

ELF解析
u011337769的博客
07-26 836
了解了elf文件格式之后，最好的方式就是手动写一个自动解析elf文件的工具，目的在于进一步熟悉elf文件格式，然后进行思考后大致思路如下:     0x0.设计界面     对于界面设计，采用了QT的设计师，快速构建满足需求的界面     0x1.解析文件头     从文件中读取二进制数据保存再全局buf中，首先需要判断魔数，为elf文件则继续解析，再根据结构进行读取 /* The EL
ELF文件解析器
K1052176873的博客
02-11 4787
前言 最近选了Linux内核原理的选修课，虽然因为课时比较短涉及到的内容只能涵盖Linux知识的一小部分，但是老师的水平确实很高，讲的知识也很深入，这次布置的小作业是编写Linux平台下的C语言程序实现如下功能： 模仿实现Linux下readelf工具的部分功能，能够对ELF可执行文件进行简单分析。（至少支持readelf工具的-h、-S、-s三个命令选项功能） 关于原理部分自认为没有能力和大佬们讲得一样透彻清楚，所以参考文章链接贴在了文章的末尾，看了一定就会明白的。 1.ELF文件介绍 在 Linux 系
ELF文件格式解析
最新发布
IfYouHave的博客
09-25 1328
ELF文件是Linux系统的主要可执行文件格式，分为可执行文件、可重定位文件和共享目标文件三类。其结构包含ELF文件头（标识文件属性和关键表位置）、程序头表（指导内存加载）、节头表（管理代码和数据节）以及符号表等辅助结构。通过解析这些结构，可定位可执行节的二进制指令数据，结合反汇编工具转换为汇编代码，实现程序分析和调试。ELF文件格式支持从编译、链接到加载执行的全流程需求，是类Unix系统和嵌入式开发的标准二进制格式。
ELF解析工具 v1.7（elf格式解析工具)
11-05
支持全部ELF类型解析。支持32位/64位elf文件自适应解析、可解析elf文件头、程序头、节头、字符表、符号表、hash表、版本定义表、版本依赖表、动态信息表等。 更多详细介绍请访问：https://blog.youkuaiyun.com/tanming1987/article/details/126445826 可以解析linux及大部分嵌入式的编译输出文件，如gcc、keil mdk、iar、ccs等编译器的输出文件格式均为ELF。
ELF文件解析
Jiajun Zhu
03-22 1207
ELF（Executable and Linkable Format，可执行与可链接格式）
ELF文件格式分析.pdf
06-24
ELF文件格式分析是操作系统和计算机程序编译链接过程中不可或缺的一部分，它涉及到软件构件的静态和动态组装技术。ELF，全称Executable and Linkable Format，是一种可执行链接格式，最初由UNIX系统实验室（USL）...
《ELF文件格式分析.pdf》与elf解析代码
03-22
以下是对`ELF文件格式分析.pdf`文档中可能涵盖的关键知识点的详细说明，以及对`readelf.c`源代码的简单介绍。 1. **ELF文件结构**：ELF文件由多个头和段组成，包括 Elf Header（文件头）、Program Headers（程序头...
ELF 文件格式分析（北京大学实验室出的标准版）
03-19
通过学习这份文档，读者可以掌握如何读取和解析ELF文件，理解动态链接机制，以及如何利用ELF格式进行程序调试和分析。 总之，对ELF文件格式有深入的理解对于系统级编程、逆向工程、软件调试以及优化都是至关重要的...
elf文件结构解析
qq_31121045的博客
08-02 1454
elf文件解析1、ELF文件结构格式：2、ELF头文件解析：3、ELF段表： 1、ELF文件结构格式： ELF Header .text .data .bss … section header table string tables symbol tables … elf文件头包含了整个文件的基本属性，如文件版本，入口地址等，接着就是ELF文件的各个...
写一个简单程序解析ELF
Beautiful Attack and Defence
03-04 1390
最近学习elf文件格式，感觉写一个程序会更印象深刻，牢固。于是便开工，程序很简单，写了3个part的，包括ELF_header，P_Header&Section_Header，目前对ELF格式是很熟悉了，基本目的达到了。然后在写的过程中拿了一本elf的手册以及非虫的android elf格式附图。过程中发现了图中的两处错误，.interp段多框了一个字节，另外section name string
elf文件格式解析
PwnGuo的博客
05-20 6590
linux 恶意软件研究相关工具 及下载地址：https://remnux.org/docs/distro/tools/ 系统: Sysdig（https://pkgs.org/download/sysdig）Unhide（取消隐藏） 反汇编: Vivisect, Udis86, objdump 调试工具: Evan’s Debugger (EDB), GNU Project Debugge...
分析ELF的加载过程
xu的blog
04-08 2786
导读： 　　ELF的可执行文件与共享库在结构上非常类似,它们具有一张程序段表,用来描述这些段如何映射到进程空间. 　　对于可执行文件来说,段的加载位置是固定的,程序段表中如实反映了段的加载地址.对于共享库来说,段的加载位置是浮动的,位置无关的,程序段表反映的是以0作为基准地址的相对加载地址.尽管共享库的连接是不充分的,为了便于测试动态链接器,Linux允许直接加载共享库运行.如果应用程序具
ELF文件解析和加载(附代码)
热门推荐
珂珂可爱多
03-20 5万+
目录：1. elf文件基本概念2. elf文件结构3. elf文件装载4. 代码实现1.elf文件基本概念elf文件是一种目标文件格式，用于定义不同类型目标文件以什么样的格式，都放了些什么东西。主要 用于linux平台。windows下是PE/COFF格式。 可执行文件、可重定位文件(.o)、共享目标文件(.so)、核心转储文件都是以elf文件格式存...
ELF文件中符号的动态解析过程
u011673554的博客
09-11 1255
本文引用并修改了http://jzhihui.iteye.com/blog/1447570 中的动态链接部分，然后加了自己的理解和注释。 用来测试的C代码为：/* hello.c */ #include <stdio.h> int main() { printf(“hello world!\n”); return 0; } $ gcc –o hello hello.c当执行一个用户
ELF文件详解
PeakJin的博客
03-28 2万+
一、ELF概述 1、ELF的定义 ELF（Executable and Linkable Format）文件是一种目标文件格式，常见的ELF格式文件包括：可执行文件、可重定位文件(.o)、共享目标文件(.so)、核心转储文件等。 ELF主要用于Linux平台，Windows下是PE/COFF格式。 2、ELF文件的结构 一个完整的ELF文件一般会包括如下几个内容：ELF头、Section头、Segment头和Section。 其中由Section头组成的集合称为Section头表，...
ELF文件格式深度解析与应用
"ELF文件格式分析.pdf" 这篇技术笔记详细阐述了ELF（Executable and Linkable Format）文件格式，这是在UNIX类操作系统中广泛使用的二进制文件格式，尤其在Android和Linux系统中扮演着重要角色。ELF文件用于存储...
评论
成就一亿技术人!
拼手气红包6.0元
还能输入1000个字符
 
红包 添加红包
表情包 插入表情
表情包 代码片
 条评论被折叠 查看
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值