訂閱
糾錯
加入自媒體

技術分析:從字節(jié)碼的粒度來探索ELF文件

2021-05-25 17:44
道哥分享
關注

好了,下面我們繼續(xù)把剩下的 36 個字節(jié)(52 - 16 = 32),也以這樣的字節(jié)碼含義畫出來:

16 - 31 個字節(jié):

32 - 47 個字節(jié):

48 - 51 個字節(jié):

具體的內容就不用再解釋了,一切都在感情深、一口悶,話不多說,都在酒里~~ 哦不對,重點都在圖里!

字符串表表項 Entry

在一個 ELF 文件中,存在很多字符串,例如:變量名、Section名稱、鏈接器加入的符號等等,這些字符串的長度都是不固定的,因此用一個固定的結構來表示這些字符串,肯定是不現(xiàn)實的。

于是,聰明的人類就想到:把這些字符串集中起來,統(tǒng)一放在一起,作為一個獨立的 Section 來進行管理。

在文件中的其他地方呢,如果想表示一個字符串,就在這個地方寫一個數(shù)字索引:表示這個字符串位于字符串統(tǒng)一存儲地方的某個偏移位置,經(jīng)過這樣的按圖索驥,就可以找到這個具體的字符串了。

比如說啊,下面這個空間中存儲了所有的字符串:

在程序的其他地方,如果想引用字符串 “hello,world!”,那么就只需要在那個地方標明數(shù)字 13 就可以了,表示:這個字符串從偏移 13 個字節(jié)處開始。

那么現(xiàn)在,咱們再回到這個 main 文件中的字符串表,

在 ELF header 的最后 2 個字節(jié)是 0x1C 0x00,它對應結構體中的成員 e_shstrndx,意思是這個 ELF 文件中,字符串表是一個普通的 Section,在這個 Section 中,存儲了 ELF 文件中使用到的所有的字符串。

既然是一個 Section,那么在 Section header table 中,就一定有一個表項 Entry 來描述它,那么是哪一個表項呢?

這就是 0x1C 0x00 這個表項,也就是第 28 個表項。

這里,我們還可以用指令 readelf -S main 來看一下這個 ELF 文件中所有的 Section 信息:

其中的第 28 個 Section,描述的正是字符串表 Section:

可以看出來:這個 Section 在 ELF 文件中的偏移地址是 0x0016ed,長度是 0x00010a 個字節(jié)。

下面,我們從 ELF header 的二進制數(shù)據(jù)中,來推斷這信息。

讀取字符串表 Section 的內容

那我就來演示一下:如何通過 ELF header 中提供的信息,把字符串表這個 Section 給找出來,然后把它的字節(jié)碼打印出來給各位看官瞧瞧。

要想打印字符串表 Section 的內容,就必須知道這個 Section 在 ELF 文件中的偏移地址。

要想知道偏移地址,只能從 Section head table 中第 28 個表項描述信息中獲取。

要想知道第 28 個表項的地址,就必須知道 Section head table 在 ELF 文件中的開始地址,以及每一個表項的大小。

正好最后這 2 個需求信息,在 ELF header 中都告訴我們了,因此我們倒著推算,就一定能成功。

ELF header 中的第 32 到 35 字節(jié)內容是:F8 17 00 00(注意這里的字節(jié)序,低位在前),表示的就是 Section head table 在 ELF 文件中的開始地址(e_shoff)。

0x000017F8 = 6136,也就是說  Section head table 的開始地址位于 ELF 文件的第 6136 個字節(jié)處。

知道了開始地址,再來算一下第 28 個表項 Entry 的地址。

ELF header 中的第 46、47 字節(jié)內容是:28 00,表示每個表項的長度是 0x0028 = 40 個字節(jié)。

注意這里的計算都是從 0 開始的,因此第 28 個表項的開始地址就是:6136 + 28 * 40 = 7256,也就是說用來描述字符串表這個 Section 的表項,位于 ELF 文件的 7256 字節(jié)的位置。

既然知道了這個表項 Entry 的地址,那么就扒開來看一下其中的二進制內容:

執(zhí)行指令:od -Ad -t x1 -j 7256 -N 40 main。

其中的 -j 7256 選項,表示跳過前面的 7256 個字節(jié),也就是我們從 main 這個 ELF 文件的 7256 字節(jié)處開始讀取,一共讀 40 個字節(jié)。

這 40 個字節(jié)的內容,就對應了 Elf32_Shdr 結構體中的每個成員變量:

這里主要關注一下上圖中標注出來的 4 個字段:

sh_name: 暫時不告訴你,馬上就解釋到了;

sh_type:表示這個 Section 的類型,3 表示這是一個 string table;

sh_offset: 表示這個 Section,在 ELF 文件中的偏移量。0x000016ed = 5869,意思是字符串表這個 Section 的內容,從 ELF 文件的 5869 個字節(jié)處開始;

sh_size:表示這個 Section 的長度。0x0000010a = 266 個字節(jié),意思是字符串表這個 Section 的內容,一共有 266 個字節(jié)。

還記得剛才我們使用 readelf 工具,讀取到字符串表 Section 在 ELF 文件中的偏移地址是 0x0016ed,長度是 0x00010a 個字節(jié)嗎?

與我們這里的推斷是完全一致的!

既然知道了字符串表這個 Section 在 ELF 文件中的偏移量以及長度,那么就可以把它的字節(jié)碼內容讀取出來。

執(zhí)行指令: od -Ad -t c -j 5869 -N 266 main,所有這些參數(shù)應該不用再解釋了吧?!

看一看,瞧一瞧,是不是這個 Section 中存儲的全部是字符串?

剛才沒有解釋 sh_name 這個字段,它表示字符串表這個 Section 本身的名字,既然是名字,那一定是個字符串。

但是這個字符串不是直接存儲在這里的,而是存儲了一個索引,索引值是 0x00000011,也就是十進制數(shù)值 17。

現(xiàn)在我們來數(shù)一下字符串表 Section 內容中,第 17 個字節(jié)開始的地方,存儲的是什么?

不要偷懶,數(shù)一下,是不是看到了:“.shstrtab” 這個字符串(是字符串的分隔符)?!

好了,如果看到這里,你全部都能看懂,那么關于字符串表這部分的內容,說明你已經(jīng)完全理解了,給你一百個贊。!

讀取代碼段的內容

從下面的這張圖(指令:readelf -S main):

可以看到代碼段是位于第 14 個表項中,加載(虛擬)地址是 0x08048470,它位于 ELF 文件中的偏移量是 0x000470,長度是 0x0001b2 個字節(jié)。

那我們就來試著讀一下其中的內容。

首先計算這個表項 Entry 的地址:6136 + 14 * 40 = 6696。

然后讀取這個表項 Entry,讀取指令是 od -Ad -t x1 -j 6696 -N 40 main:

同樣的,我們也只關心下面這 5 個字段內容:

sh_name: 這回應該清楚了,表示代碼段的名稱在字符串表 Section 中的偏移位置。0x9B = 155 字節(jié),也就是在字符串表 Section 的第 155 字節(jié)處,存儲的就是代碼段的名字。回過頭去找一下,看一下是不是字符串 “.text”;

sh_type:表示這個 Section 的類型,1(SHT_PROGBITS) 表示這是代碼;

sh_addr:表示這個 Section 加載的虛擬地址是 0x08048470,這個值與 ELF header 中的 e_entry 字段的值是相同的;

sh_offset: 表示這個 Section,在 ELF 文件中的偏移量。0x00000470 = 1136,意思是這個 Section 的內容,從 ELF 文件的 1136 個字節(jié)處開始;

sh_size:表示這個 Section 的長度。0x000001b2 = 434 個字節(jié),意思是代碼段一共有 434 個字節(jié)。

以上這些分析結構,與指令 readelf -S main 讀取出來的完全一樣!

PS: 在查看字符串表 Section 中的字符串時,不要告訴我,你真的是從 0 開始數(shù)到 155 !可以計算一下:字符串表的開始地址是 5869(十進制),加上 155,結果就是 6024,所以從 6024 開始的地方,就是代碼段的名稱,也就是 “.text”。

知道了以上這些信息,我們就可以讀取代碼段的字節(jié)碼了.使用指令:od -Ad -t x1 -j 1136 -N 434 main 即可。

內容全部是黑乎乎的的字節(jié)碼,我就不貼出來了。

Program header

文章的開頭,我就介紹了:我是一個通用的文件結構,鏈接器和加載器在看待我的時候,眼光是不同的。

為了對 Program header 有更感性的認識,我還是先用 readelf 這個工具來從總體上看一下 main 文件中的所有段信息。

執(zhí)行指令:readelf -l main,得到下面這張圖:

顯示的信息已經(jīng)很明白了:

這是一個可執(zhí)行程序;

入口地址是 0x8048470;

一共有 9 個 Program header,是從 ELF 文件的 52 個偏移地址開始的;

布局如下圖所示:

開頭我還告訴過你:Section 與 Segment 本質上是一樣的,可以理解為:一個 Secgment 由一個或多個 Sections 組成。

從上圖中可以看到,第 2 個 program header 這個段,由那么多的 Section 組成,這下更明白一些了吧?!

從圖中還可以看到,一共有 2 個 LOAD 類型的段:

我們來讀取第一個 LOAD 類型的段,當然還是扒開其中的二進制字節(jié)碼。

第一步的工作是,計算這個段表項的地址信息。

從 ELF header 中得知如下信息:

字段 e_phoff :Program header table 位于 ELF 文件偏移 52 個字節(jié)的地方。

字段 e_phentsize: 每一個表項的長度是 32 個字節(jié);

字段 e_phnum: 一共有 9 個表項 Entry;

通過計算,得到可讀、可執(zhí)行的 LOAD 段,位于偏移量 116 字節(jié)處。

執(zhí)行讀取指令:od -Ad -t x1 -j 116 -N 32 main:

按照上面的慣例,我還是把其中幾個需要關注的字段,與數(shù)據(jù)結構中的成員變量進行關聯(lián)一下:

p_type: 段的類型,1: 表示這個段需要加載到內存中;

p_offset: 段在 ELF 文件中的偏移地址,這里值為 0,表示這個段從 ELF 文件的頭部開始;

p_vaddr:段加載到內存中的虛擬地址 0x08048000;

p_paddr:段加載的物理地址,與虛擬地址相同;

p_filesz: 這個段在 ELF 文件中,占據(jù)的字節(jié)數(shù),0x0744 = 1860 個字節(jié);

p_memsz:這個段加載到內存中,需要占據(jù)的字節(jié)數(shù),0x0744= 1860 個字節(jié)。注意:有些段是不需要加載到內存中的;

經(jīng)過上述分析,我們就知道:從 ELF 文件的第 1 到 第 1860 個字節(jié),都是屬于這個 LOAD 段的內容。

在被執(zhí)行時,這個段需要被加載到內存中虛擬地址為 0x08048000 這個地方,從這里開始,又是一個全新的故事了。

再回顧一下

到這里,我已經(jīng)像洋蔥一樣,把自己的層層外衣都扒開,讓你看到最細的顆粒度了,這下子,您是否對我有足夠的了解了呢?

其實只要抓住下面 2 個重點即可:

ELF header 描述了文件的總體信息,以及兩個 table 的相關信息(偏移地址,表項個數(shù),表項長度);

每一個 table 中,包括很多個表項 Entry,每一個表項都描述了一個 Section/Segment 的具體信息。

鏈接器和加載器也都是按照這樣的原理來解析 ELF 文件的,明白了這些道理,后面在學習具體的鏈接、加載過程時,就不會迷路啦!

<上一頁  1  2  3  
聲明: 本文由入駐維科號的作者撰寫,觀點僅代表作者本人,不代表OFweek立場。如有侵權或其他問題,請聯(lián)系舉報。

發(fā)表評論

0條評論,0人參與

請輸入評論內容...

請輸入評論/評論長度6~500個字

您提交的評論過于頻繁,請輸入驗證碼繼續(xù)

暫無評論

暫無評論

人工智能 獵頭職位 更多
掃碼關注公眾號
OFweek人工智能網(wǎng)
獲取更多精彩內容
文章糾錯
x
*文字標題:
*糾錯內容:
聯(lián)系郵箱:
*驗 證 碼:

粵公網(wǎng)安備 44030502002758號