Разбиране на ELF файловия формат

Както можете да видите от описанието по-горе, ELF файлът се състои от два раздела - заглавка на ELF и данни от файла. Разделът с файлови данни може да се състои от таблица със заглавия на програма, описваща нула или повече сегменти, таблица със заглавия на секция, описваща нула или повече секции, която е последвана от данни, посочени от записи от таблицата със заглавия на програмата, и таблица със заглавия на раздела. Всеки сегмент съдържа информация, необходима за изпълнение на файла по време на изпълнение, докато секциите съдържат важни данни за свързване и преместване. Фигура 1 илюстрира това схематично.

Заглавката на ELF

Заглавката ELF е с дължина 32 байта и идентифицира формата на файла. Започва с последователност от четири уникални байта, които са 0x7F, последвани от 0x45, 0x4c и 0x46, което се превежда в трите букви E, L и F. Наред с други стойности, заглавката също така показва дали е ELF файл за 32 или 64-битов формат, използва малко или голямо крайност, показва версията ELF, както и за коя операционна система е компилиран файлът, за да си взаимодейства с десен двоичен интерфейс на приложение (ABI) и набор от инструкции на процесора.

Шестнадесетичният бутон на докосването на двоичен файл изглежда както следва:

.Листинг 2: Hexdump на двоичния файл

Debian GNU / Linux предлага командата readelf, която се предоставя в пакета на GNU 'binutils'. Придружен от превключвателя -h (кратка версия за “-file-header”) той добре показва заглавката на ELF файл. Листинг 3 илюстрира това за командното докосване.

.Листинг 3: Показване на заглавката на ELF файл

Заглавката на програмата

Заглавката на програмата показва сегментите, използвани по време на изпълнение, и казва на системата как да създаде изображение на процес. Заглавката от Листинг 2 показва, че ELF файлът се състои от 9 програмни заглавки, които имат размер 56 байта всеки, а първият заглавие започва от байт 64.

Отново, командата readelf помага да се извлече информацията от ELF файла. Превключвателят -l (съкращение от -program-headers или -segments) разкрива повече подробности, както е показано в листинг 4.

.Листинг 4: Показване на информация за заглавките на програмата

Заглавката на раздела

Третата част от структурата на ELF е заглавката на раздела. Предназначен е да изброи отделните раздели на двоичния файл. Ключът -S (съкратено от -section-headers или -sections) изброява различните хедъри. Що се отнася до командата за докосване, има 27 заглавки на раздели и в Листинг 5 са ​​показани само първите четири от тях плюс последния. Всеки ред обхваща размера на секцията, типа на секцията, както и нейния адрес и отместване на паметта.

.Листинг 5: Подробности за раздела, разкрити от readelf

Инструменти за анализ на ELF файл

Както може би сте забелязали от примерите по-горе, GNU / Linux се предлага с редица полезни инструменти, които ви помагат да анализирате ELF файл. Първият кандидат, който ще разгледаме, е помощната програма за файлове.

файлът показва основна информация за ELF файлове, включително архитектурата на набор от инструкции, за която е предназначен кодът в преместваем, изпълним или споделен обектен файл. В списък 6 той ви казва, че / bin / touch е 64-битов изпълним файл, следващ Linux Standard Base (LSB), динамично свързан и създаден за ядрото GNU / Linux версия 2.6.32.

.Листинг 6: Основна информация с помощта на файл

Вторият кандидат е прочетен. Той показва подробна информация за ELF файл. Списъкът с ключове е сравнително дълъг и обхваща всички аспекти на формата ELF. Използване на превключвателя -n (съкратено от -notes) Листинг 7 показва само разделите на бележките, които съществуват в докосването на файла - етикетът на версията ABI и битстрингът на идентификатора на компилация.

.Листинг 7: Показване на избрани секции от ELF файл

Имайте предвид, че при Solaris и FreeBSD помощната програма elfdump [7] съответства на readelf. Към 2019 г. няма нова версия или актуализация от 2003 г. насам.

Номер три е пакетът с име elfutils [6], който е изцяло достъпен за Linux. Той предоставя алтернативни инструменти на GNU Binutils и също така позволява проверка на ELF файлове. Обърнете внимание, че всички имена на помощните програми, предоставени в пакета, започват с eu за „elf utils“.

Не на последно място ще споменем objdump. Този инструмент е подобен на readelf, но се фокусира върху обектни файлове. Той предоставя подобен набор от информация за ELF файлове и други обектни формати.

.Листинг 8: Файлова информация, извлечена от objdump

Съществува и софтуерен пакет, наречен „elfkickers“ [9], който съдържа инструменти за четене на съдържанието на ELF файл, както и за манипулиране с него. За съжаление, броят на изданията е доста нисък и затова просто го споменаваме и не показваме допълнителни примери.

Вместо това като разработчик може да разгледате „pax-utils“ [10,11]. Този набор от помощни програми предоставя редица инструменти, които помагат за валидиране на ELF файлове. Като пример, dumpelf анализира ELF файла и връща C заглавен файл, съдържащ подробностите - вижте Фигура 2.

Заключение

Благодарение на комбинацията от интелигентен дизайн и отлична документация, форматът ELF работи много добре и все още се използва след 20 години. Помощните програми, показани по-горе, ви позволяват да получите поглед върху ELF файл и ви позволяват да разберете какво прави една програма. Това са първите стъпки за анализ на софтуера - щастливо хакване!

Връзки и справки

• [1] Изпълним и свързващ се формат (ELF), Уикипедия
• [2] Fuchsia OS
• [3] Сравнение на изпълними файлови формати, Уикипедия
• [4] Linux Foundation, посочени спецификации
• [5] Ciro Santilli: Урок за ELF Hello World
• [6] elfutils пакет Debian
• [7] elfdump
• [8] Майкъл Болен: 101-те от ELF файловете в Linux: Разбиране и анализ
• [9] elfkickers
• [10] Закалени / PaX помощни програми
• [11] pax-utils, пакет Debian

Благодарности

Писателят би искал да благодари на Аксел Бекерт за подкрепата му по отношение на подготовката на тази статия.