如何查看ELF文件

这篇博客介绍了如何利用readelf工具查看ELF文件的详细信息,包括文件头、Sections和符号表。通过结合awk、sort和grep命令,可以进行更深入的分析,如找出最大的函数和变量。示例中展示了查找并排序ELF文件中最大函数和变量的方法。

摘要生成于 C知道 ,由 DeepSeek-R1 满血版支持, 前往体验 >

查看elf文件

以一个简单的C程序为例:

#include <stdio.h>
#include <string.h>

int main(int argc, char**argv)
{
    printf("build date: %s %s\n",  __DATE__, __TIME__);
    return 0;
}

编译、执行

➜  ~ gcc test.c -o test
➜  ~ ./test 
build date: Nov 12 2017 22:07:06
➜  ~ 

查看elf文件头信息–readelf -h

➜  ~ readelf -h test
ELF Header:
  Magic:   7f 45 4c 46 02 01 01 00 00 00 00 00 00 00 00 00 
  Class:                             ELF64
  Data:                              2's complement, little endian
  Version:                           1 (current)
  OS/ABI:                            UNIX - System V
  ABI Version:                       0
  Type:                              EXEC (Executable file)
  Machine:                           Advanced Micro Devices X86-64
  Version:                           0x1
  Entry point address:               0x400430
  Start of program headers:          64 (bytes into file)
  Start of section headers:          6624 (bytes into file)
  Flags:                             0x0
  Size of this header:               64 (bytes)
  Size of program headers:           56 (bytes)
  Number of program headers:         9
  Size of section headers:           64 (bytes)
  Number of section headers:         31
  Section header string table index: 28

查看Sections—readelf -S

➜  ~ readelf -S test
There are 31 section headers, starting at offset 0x19e0:

Section Headers:
  [Nr] Name              Type             Address           Offset
       Size              EntSize          Flags  Link  Info  Align
  [ 0]                   NULL             0000000000000000  00000000
       0000000000000000  0000000000000000           0     0     0
  [ 1] .interp           PROGBITS         0000000000400238  00000238
       000000000000001c  0000000000000000   A       0     0     1
  [ 2] .note.ABI-tag     NOTE             0000000000400254  00000254
       0000000000000020  0000000000000000   A       0     0     4
  [ 3] .note.gnu.build-i NOTE             0000000000400274  00000274
       0000000000000024  0000000000000000   A       0     0     4
  [ 4] .gnu.hash         GNU_HASH         0000000000400298  00000298
       000000000000001c  0000000000000000   A       5     0     8
  [ 5] .dynsym           DYNSYM           00000000004002b8  000002b8
       0000000000000060  0000000000000018   A       6     1     8
  [ 6] .dynstr           STRTAB           0000000000400318  00000318
       000000000000003f  0000000000000000   A       0     0     1
  [ 7] .gnu.version      VERSYM           0000000000400358  00000358
       0000000000000008  0000000000000002   A       5     0     2
  [ 8] .gnu.version_r    VERNEED          0000000000400360  00000360
       0000000000000020  0000000000000000   A       6     1     8
  [ 9] .rela.dyn         RELA             0000000000400380  00000380
       0000000000000018  0000000000000018   A       5     0     8
  [10] .rela.plt         RELA             0000000000400398  00000398
       0000000000000030  0000000000000018  AI       5    24     8
  [11] .init             PROGBITS         00000000004003c8  000003c8
       000000000000001a  0000000000000000  AX       0     0     4
  [12] .plt              PROGBITS         00000000004003f0  000003f0
       0000000000000030  0000000000000010  AX       0     0     16
  [13] .plt.got          PROGBITS         0000000000400420  00000420
       0000000000000008  0000000000000000  AX       0     0     8
  [14] .text             PROGBITS         0000000000400430  00000430
       00000000000001a2  0000000000000000  AX       0     0     16
  [15] .fini             PROGBITS         00000000004005d4  000005d4
       0000000000000009  0000000000000000  AX       0     0     4
  [16] .rodata           PROGBITS         00000000004005e0  000005e0
       000000000000002c  0000000000000000   A       0     0     4
  [17] .eh_frame_hdr     PROGBITS         000000000040060c  0000060c
       0000000000000034  0000000000000000   A       0     0     4
  [18] .eh_frame         PROGBITS         0000000000400640  00000640
       00000000000000f4  0000000000000000   A       0     0     8
  [19] .init_array       INIT_ARRAY       0000000000600e10  00000e10
       0000000000000008  0000000000000000  WA       0     0     8
  [20] .fini_array       FINI_ARRAY       0000000000600e18  00000e18
       0000000000000008  0000000000000000  WA       0     0     8
  [21] .jcr              PROGBITS         0000000000600e20  00000e20
       0000000000000008  0000000000000000  WA       0     0     8
  [22] .dynamic          DYNAMIC          0000000000600e28  00000e28
       00000000000001d0  0000000000000010  WA       6     0     8
  [23] .got              PROGBITS         0000000000600ff8  00000ff8
       0000000000000008  0000000000000008  WA       0     0     8
  [24] .got.plt          PROGBITS         0000000000601000  00001000
       0000000000000028  0000000000000008  WA       0     0     8
  [25] .data             PROGBITS         0000000000601028  00001028
       0000000000000010  0000000000000000  WA       0     0     8
  [26] .bss              NOBITS           0000000000601038  00001038
       0000000000000008  0000000000000000  WA       0     0     1
  [27] .comment          PROGBITS         0000000000000000  00001038
       0000000000000034  0000000000000001  MS       0     0     1
  [28] .shstrtab         STRTAB           0000000000000000  000018cd
       000000000000010c  0000000000000000           0     0     1
  [29] .symtab           SYMTAB           0000000000000000  00001070
       0000000000000648  0000000000000018          30    47     8
  [30] .strtab           STRTAB           0000000000000000  000016b8
       0000000000000215  0000000000000000           0     0     1
Key to Flags:
  W (write), A (alloc), X (execute), M (merge), S (strings), l (large)
  I (info), L (link order), G (group), T (TLS), E (exclude), x (unknown)
  O (extra OS processing required) o (OS specific), p (processor specific)
➜  ~ 

查看符号表,并排序 – readelf -s

通过readelf -s命令可以查看符号表。

通过awk命令可以提取出类型、符号名、大小等信息。
通过sort可以对符号表进行排序。
通过grep命令可以提取出OBJ或者FUNCTION。
这些命令的组合,可以实现很多强大的功能。
如下图查看test里面最大的函数:

➜  ~ readelf -s test |awk '{print $3"\t"$4"\t"$8}' |grep FUNC |sort -rh |head -n 5
101 FUNC    __libc_csu_init
47  FUNC    main
42  FUNC    _start
2   FUNC    __libc_csu_fini
0   FUNC    register_tm_clones

如下图查看test里面最大的变量:

➜  ~ readelf -s test |awk '{print $3"\t"$4"\t"$8}' |grep OBJ |sort -rh |head -n 1
4   OBJECT  _IO_stdin_used
### 回答1: 在Windows操作系统中,我们无法直接查看和解析ELF文件。因为ELF是一种针对Unix和Linux系统的可执行文件格式,而Windows使用的是PE(Portable Executable)格式。 如果我们想查看ELF文件内部的内容,我们可以使用一些第三方工具来实现。例如,我们可以使用一个名为"readelf"的命令行工具。需要注意的是,这个工具必须在Windows上安装一个UNIX环境(如Cygwin或MinGW),因为它是专为Unix和Linux操作系统设计的。 使用readelf工具,我们可以在命令行中执行类似于以下的命令:readelf -a filename,其中"filename"是要查看ELF文件的路径和名称。该命令将显示ELF文件的所有节(sections)和程序头(program headers)的详细信息,包括节类型、地址、大小、文件偏移等。 另外,我们还可以使用一些反汇编工具,如IDA Pro或Ghidra,来分析和查看ELF文件的汇编代码和符号表。这些工具通常被用于逆向工程和恶意软件分析。 总而言之,在Windows操作系统中查看ELF文件需要使用第三方工具,并且需要一些额外的配置和安装。这主要是因为ELF是Unix和Linux操作系统特有的文件格式,与Windows操作系统并不兼容。 ### 回答2: 在Windows上查看elf文件可以通过以下几种方法进行: 1. 使用专门的ELF文件查看器:可以通过在Windows上安装专门的ELF文件查看器来浏览和查看elf文件。这些工具通常提供了丰富的功能,包括查看文件的头部信息、节区、符号表、重定位表等。 2. 使用反汇编工具:在Windows上安装反汇编工具,比如IDA Pro、radare2等,可以将elf文件导入并进行反汇编,查看其汇编代码和程序逻辑。这些工具通常对符号表和重定位表的解析也比较准确,可以帮助理解elf文件的结构和内容。 3. 使用调试器:在Windows上安装调试器,如GDB或LLDB等,可以将elf文件加载到调试器中,并进行断点调试和变量查看等操作。调试器可以帮助我们深入了解elf文件的执行过程,分析其运行时行为,以及查看内存、寄存器等信息。 4. 使用文件查看工具:使用Windows自带的文件查看工具,如Hex编辑器,可以直接打开elf文件查看其16进制内容。但需要注意的是,elf文件的结构比较复杂,仅仅查看16进制内容可能无法完全理解其含义,需要结合其他工具来解析。 无论使用哪种方法,我们都需要了解elf文件的结构和格式,以及对应的解析方法,才能准确地查看和理解elf文件的内容。 ### 回答3: 在Windows上查看ELF文件可以通过安装相应的工具来实现。ELF(Executable and Linkable Format)是一种可执行和可链接文件的标准文件格式,主要用于UNIX和类UNIX操作系统。虽然Windows操作系统通常不直接支持ELF文件,但仍然可以用一些工具进行查看。 一种常用的工具是使用Windows上的GCC编译器。GCC是一个开源的编译器套件,包含了很多不同平台上的工具。其中包括一个名为objdump的工具,可以查看和分析各种格式的目标文件,包括ELF文件。可以通过下载和安装MinGW或者Cygwin来获取GCC的Windows版本,并使用其中的objdump工具。 另外,还有一些独立的ELF查看工具可以使用。比如ELF Viewer、elfdump等。这些工具可以提供ELF文件的各种信息,如ELF头部信息、节表、符号表等,以及可以进行反汇编查看代码等功能。 通过这些工具,我们可以查看ELF文件的结构和内容,了解代码和数据的布局、查看符号表、段信息等。可以帮助我们进行ELF文件的分析和调试,以及了解文件中包含的函数变量等信息。 总之,在Windows上查看ELF文件需要使用特定的工具,如GCC套件中的objdump工具或者独立的ELF查看工具,这些工具可以帮助我们了解ELF文件的结构和内容,进行分析和调试。
评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值