readelf分析ELF文件格式

一、ELF文件简介

可执行和可链接格式（Executable and Linkable Format，简称ELF）是Unix系统实验室（USL）作为可移植性操作系统接口（POSIX）标准的一部分而开发的文件格式。它是现代Linux系统中二进制文件的标准格式，包括可执行文件、目标代码、共享库和核心转储等。

ELF文件主要由以下几个部分组成：

1. ELF Header：描述整个文件的基本信息，包括文件类型、机器类型、入口点地址等。
2. Program Header Table (段表)：描述程序如何加载到内存中，用于运行时加载。
3. Section Header Table (节表)：描述文件中的各个节（section），用于链接和调试。
4. Sections (节)：包含代码、数据、符号表、重定位信息等具体内容。
5. Segments (段)：与程序头表相关联，描述程序在内存中的布局。

二、readelf工具概述

readelf 是一个用于显示 ELF 文件信息的工具，它能够解析并展示 ELF 文件的头部信息、节表、符号表、动态链接信息等内容。通过 readelf 工具，开发者可以深入了解 ELF 文件的内部结构。

常用选项

• -h 或 --file-header：显示 ELF 文件头信息。
• -l 或 --program-headers：显示程序头表信息。
• -S 或 --sections：显示节头表信息。
• -s 或 --syms：显示符号表信息。
• -d 或 --dynamic：显示动态段信息。
• -r 或 --relocs：显示重定位信息。
• -A 或 --attributes：显示属性信息。

三、实践步骤

步骤1：准备一个ELF文件

首先，我们需要一个ELF文件。可以通过以下方式生成一个简单的ELF文件：

# 创建一个简单的C程序
echo "int main() { return 0; }" > test.c

# 编译生成ELF文件
gcc -o test test.c

步骤2：使用readelf查看ELF文件头

readelf -h test

输出示例：

ELF Header:
  Magic:   7f 45 4c 46 02 01 01 00 00 00 00 00 00 00 00 00 
  Class:                             ELF64
  Data:                              2's complement, little endian
  Version:                           1 (current)
  OS/ABI:                            UNIX - System V
  ABI Version:                       0
  Type:                              EXEC (Executable file)
  Machine:                           Advanced Micro Devices X86-64
  Version:                           0x1
  Entry point address:               0x401090
  Start of program headers:          64 (bytes into file)
  Start of section headers:          6656 (bytes into file)
  Flags:                             0x0
  Size of this header:               64 (bytes)
  Size of program headers:           56 (bytes)
  Number of program headers:         9
  Size of section headers:           64 (bytes)
  Number of section headers:         31
  Section header string table index: 30

步骤3：查看程序头表

readelf -l test

程序头表描述了文件如何被加载到内存中，每个段的信息包括偏移量、虚拟地址、物理地址、大小等。

步骤4：查看节头表

readelf -S test

节头表详细列出了ELF文件中的所有节，例如 .text（代码节）、.data（初始化数据节）、.bss（未初始化数据节）等。

步骤5：查看符号表

readelf -s test

符号表包含了函数名、变量名及其对应的地址信息。

步骤6：查看动态链接信息

如果ELF文件是一个动态链接库或需要动态链接的可执行文件，可以使用以下命令查看动态链接信息：

readelf -d test

四、扩展知识

1. ELF文件类型：常见的ELF文件类型包括可执行文件（EXEC）、共享库（DYN）、目标文件（REL）等。
2. 重定位：重定位是将符号引用转换为实际地址的过程，通常发生在链接阶段或运行时。
3. 动态链接：动态链接允许程序在运行时加载共享库，从而减少内存占用和提高代码复用性。