ELF文件实例分析

1.实例代码如下所示：

#include <elf.h>

int foo1()

{

printf("[+] foo1 addr:%p/n",foo1);

foo2();

}

int foo2()

{

printf("[+] foo2 addr:%p/n",foo2);

foo3();

}

int foo3()

{

printf("[+] foo3 addr:%p/n",foo3);

foo4();

}

int foo4()

{

printf("[+] foo4 addr:%p/n",foo4);

}

main()

{

foo1();

}

2.elf文件的开头是一个Ehdr的结构. 该结构定义在/usr/include/elf.h中, 我们看看该结构:

typedef struct

{

unsigned char    e_ident[EI_NIDENT];    /* Magic number and other info */

Elf32_Half    e_type;            /* 目标文件类型 */

Elf32_Half    e_machine;        /* Architecture */

Elf32_Word    e_version;        /* Object file version */

Elf32_Addr    e_entry;        /* 入口地址 */

Elf32_Off    e_phoff;        /* Program header table文件偏移 */

Elf32_Off    e_shoff;        /* Section header table 文件偏移 */

Elf32_Word    e_flags;        /* Processor-specific flags */

Elf32_Half    e_ehsize;        /* ELF header 大小 */

Elf32_Half    e_phentsize;        /* 每个Program header大小 */

Elf32_Half    e_phnum;        /* 一共多少个Program header */

Elf32_Half    e_shentsize;        /* 每个Section header大小 */

Elf32_Half    e_shnum;        /* 一共多少个 Section header */

Elf32_Half    e_shstrndx;        /* Section的字符表在section header table的索引值 */

} Elf32_Ehdr;

除了Elf32_Half是2个字节(16位)外, 其他变量定义等都是4个字节(32位).

从上面的结构可以看出来sizeof(Elf32_Ehdr)=13*4=0x34

我们来看看文件elf8头52字节的内容:

[root@localhost test]# hexdump -s 0 -n 52 -C func

00000000  7f 45 4c 46 01 01 01 00  00 00 00 00 00 00 00 00  |.ELF............|

00000010  02 00 03 00 01 00 00 00  10 83 04 08 34 00 00 00  |............4...|

00000020  e8 08 00 00 00 00 00 00  34 00 20 00 08 00 28 00  |........4. ...(.|

00000030  1e 00 1b 00                                       |....|

00000034

我们对照这个结构一个个来分析:

e_ident[EI_NIDENT]: 16字节: 7f 45 4c 46 01 01 01 00 00 00 00 00 00 00 00 00

ELFMAG0 0x7f e_ident[0]

ELFMAG1 'E' e_ident[1]

ELFMAG2 'L' e_ident[2]

ELFMAG3 'F' e_ident[3]

ELFCLASS32 1 e_ident[4]

ELFDATA2LSB 1 e_ident[5]

EI_VERSION 1 e_ident[6]

剩下的全为0

e_type:2字节: 02 00 表示可执行文件(ET_EXEC 2 Executable file)

e_machine: 2字节: 03 00 表示386体系文件(EM_386 3 Intel 80386)

e_version: 4字节: 01 00 00 00 和e_ident里面的EI_VERSION含义一样.

e_entry: 4字节: 10 83 04 08 表示程序入口地址0x08048310

e_phoff: 4字节: 34 00 00 00 表示program head table在文件中的偏移量(开始位置)

e_shoff: 4字节: e8 08 00 00 表示section head table在文件中的偏移量(开始位置)

e_flags: 4字节: 00 00 00 00

e_ehsize: 2字节: 34 00 表示elf header大小, 其实就是sizeof(Elf32_Ehdr)

e_phentsize: 2字节: 20 00 表示每个program header 的大小(0x20)

e_phnum: 2字节: 08 00 表示一共多少个program header(0x06)

e_shentsize: 2字节: 28 00 表示每个section header的大小(0x28)

e_shnum: 2字节: 1e 00, 表示有多少个section header

e_shstrndx: 2字节: 1b 00 表示section string table在section header table中的索引值.(即第几个section描述了section string table的位置和大小)

看看readelf的分析结果:

[root@localhost test]# readelf -h func

ELF Header:

  Magic:   7f 45 4c 46 01 01 01 00 00 00 00 00 00 00 00 00

  Class:                             ELF32

  Data:                              2's complement, little endian

  Version:                           1 (current)

  OS/ABI:                            UNIX - System V

  ABI Version:                       0

  Type:                              EXEC (Executable file)

  Machine:                           Intel 80386

  Version:                           0x1

  Entry point address:               0x8048310

  Start of program headers:          52 (bytes into file)

  Start of section headers:          2280 (bytes into file)

  Flags:                             0x0

  Size of this header:               52 (bytes)

  Size of program headers:           32 (bytes)

  Number of program headers:         8

  Size of section headers:           40 (bytes)

  Number of section headers:         30

  Section header string table index: 27

program header

除了开始的elf header位置是固定的外, 其他位置都是相关联的, 或者说都是要到elf header里面读取的.

看elf.h里面关于这个结构的定义:

typedef struct

{

Elf32_Word    p_type;            /* Segment type */

Elf32_Off    p_offset;        /* Segment file offset */

Elf32_Addr    p_vaddr;        /* Segment virtual address */

Elf32_Addr    p_paddr;        /* Segment physical address */

Elf32_Word    p_filesz;        /* Segment size in file */

Elf32_Word    p_memsz;        /* Segment size in memory */

Elf32_Word    p_flags;        /* Segment flags */

Elf32_Word    p_align;        /* Segment alignment */

} Elf32_Phdr;

我们来计算一下这个结构的大小, sizeof(Elf32_Phdr)=0x20, 从前面的elf header信息我们也同样可以知道这个长度是0x20, elf文件中一共有8个这样的Phdr, 最开始的一个Phdr在文件的0x34偏移处. 我们可以这样读取:

[root@localhost test]# hexdump -s 52 -n 32 -C func

00000034  06 00 00 00 34 00 00 00  34 80 04 08 34 80 04 08  |....4...4...4...|

00000044  00 01 00 00 00 01 00 00  05 00 00 00 04 00 00 00  |................|

00000054

按结构进行分析:

p_type: 4字节: 06 00 00 00, 表示该段是PT_PHDR类型(自己的入口)

p_offset: 4字节: 34 00 00 00 在文件中的偏移量.

p_vaddr: 4字节: 34 80 04 08 虚拟地址:0x08048034

p_paddr: 4字节: 34 80 04 08 物理地址: 0x08048034

p_filesz: 4字节: 00 01 00 00 段的大小:0x100

p_memsz: 4字节: c0 00 00 00 在内存中的大小: 0x100

p_flags: 4字节: 05 00 00 00 段标记

p_align: 4字节: 04 00 00 00

我们来看一看PT_INTERP段的信息:

[root@localhost test]# hexdump -s 84 -n 32 -C func

00000054  03 00 00 00 34 01 00 00  34 81 04 08 34 81 04 08  |....4...4...4...|

00000064  13 00 00 00 13 00 00 00  04 00 00 00 01 00 00 00  |................|

00000074

这个segment指出了程序依赖解释器的路径/文件名, 定义在0x0134的偏移量处, 大小是0x13字节

[root@localhost test]# hexdump -s 0x134 -n 19 -C func

00000134  2f 6c 69 62 2f 6c 64 2d  6c 69 6e 75 78 2e 73 6f  |/lib/ld-linux.so|

00000144  2e 32 00                                          |.2.|

00000147

该elf文件依赖/lib/ld-linux.so.2来解释.

我们可以用readelf来检测看看:

[root@localhost test]# readelf -l func

Elf file type is EXEC (Executable file)

Entry point 0x8048310

There are 8 program headers, starting at offset 52

Program Headers:

  Type           Offset   VirtAddr   PhysAddr   FileSiz MemSiz  Flg Align

  PHDR           0x000034 0x08048034 0x08048034 0x00100 0x00100 R E 0x4

  INTERP         0x000134 0x08048134 0x08048134 0x00013 0x00013 R   0x1

      [Requesting program interpreter: /lib/ld-linux.so.2]

  LOAD           0x000000 0x08048000 0x08048000 0x005e0 0x005e0 R E 0x1000

  LOAD           0x0005e0 0x080495e0 0x080495e0 0x000fc 0x00104 RW  0x1000

  DYNAMIC        0x0005f4 0x080495f4 0x080495f4 0x000c8 0x000c8 RW  0x4

  NOTE           0x000148 0x08048148 0x08048148 0x00044 0x00044 R   0x4

  GNU_EH_FRAME   0x00056c 0x0804856c 0x0804856c 0x0001c 0x0001c R   0x4

  GNU_STACK      0x000000 0x00000000 0x00000000 0x00000 0x00000 RW  0x4

 Section to Segment mapping:

  Segment Sections...

   00    

   01     .interp

   02     .interp .note.ABI-tag .note.gnu.build-id .gnu.hash .dynsym .dynstr .gnu.version .gnu.version_r .rel.dyn .rel.plt .init .plt .text .fini .rodata .eh_frame_hdr .eh_frame

   03     .ctors .dtors .jcr .dynamic .got .got.plt .data .bss

   04     .dynamic

   05     .note.ABI-tag .note.gnu.build-id

   06     .eh_frame_hdr

   07