Linux ELF简介及深入浅出

一、ELF简介

ELF(Executable and Linkable Format)是目前主流操作系统使用的二进制文件格式。在Linux及其他Unix系统中，可执行文件、目标文件和共享库都是以ELF格式存储的。它是一种与CPU无关的二进制文件格式，可以在不同的系统上运行。

ELF格式的文件分为三部分：头部、程序头表和节区。头部包含了文件的基本信息以及可执行文件的入口点等信息；程序头表用于描述如何创建执行进程的内存布局；节区则包含了文件中各种数据和代码信息。

二、ELF头部

ELF头部是整个ELF文件的起始部分，用于描述整个文件的基本信息。ELF头部长度固定为52个字节，通常使用elf.h头文件定义。以下是一个示例：

/* ELF头部结构体 */
typedef struct {
    unsigned char e_ident[EI_NIDENT]; /* 文件标识 */
    uint16_t      e_type;            /* 文件类型 */
    uint16_t      e_machine;         /* 机器类型 */
    uint32_t      e_version；        /* 文件版本 */
    ElfN_Addr     e_entry;           /* 程序入口 */
    ElfN_Off      e_phoff;           /* 程序头表偏移量 */
    ElfN_Off      e_shoff;           /* 节区头表偏移量 */
    uint32_t      e_flags;           /* 处理器特定标志 */
    uint16_t      e_ehsize;          /* ELF头部长度 */
    uint16_t      e_phentsize;       /* 程序头部长度 */
    uint16_t      e_phnum;           /* 程序头表中表项数量 */
    uint16_t      e_shentsize;       /* 节区头部长度 */
    uint16_t      e_shnum;           /* 节区头表中表项数量 */
    uint16_t      e_shstrndx;        /* 包含节区名称表的节区索引 */
} Elf32_Ehdr;

e_ident数组用于描述文件的标识信息，其长度为16字节，它的第一个字节指示文件的类别，1表示32位，2表示64位。e_type表示文件类型，比如可执行文件、目标文件、共享库等。e_machine表示CPU类型。e_version表示文件版本。e_entry表示可执行文件的入口点地址。e_phoff表示程序头表偏移量。e_shoff表示节区头表偏移量。e_flags表示处理器特定标志。e_ehsize表示ELF头部长度。e_phentsize表示程序头表中单个表项的长度。e_phnum表示程序头表中表项个数。e_shentsize表示节区头表中单个表项的长度。e_shnum表示节区头表中表项个数。e_shstrndx表示包含节区名称表的节区索引。

三、ELF程序头表

ELF程序头表是可执行文件和共享库中用于描述加载和执行过程的一部分数据。ELF程序头表是由多个表项组成的动态链接器使用的数据结构，分别描述每个程序段的地址、长度、文件偏移等信息。以下是一个示例：

/* 程序头表结构体 */
typedef struct {
    uint32_t   p_type;            /* Header类型 */
    ElfN_Off   p_offset;          /* 该节区的文件偏移量 */
    ElfN_Addr  p_vaddr;           /* 该段的首字节在进程虚拟地址上的地址 */
    ElfN_Addr  p_paddr;           /* 该段的首字节在物理地址上的地址 */
    uint32_t   p_filesz;          /* 该节区的文件长度 */
    uint32_t   p_memsz；           /* 该段的内存长度 */
    uint32_t   p_flags;           /* 属性 */
    uint32_t   p_align;           /* 对齐要求 */
} Elf32_Phdr;

p_type表示该段的类型，比如可执行、只读、可写等。p_offset表示该段在文件中的偏移量。p_vaddr表示该段在进程虚拟地址空间中的位置。p_paddr表示该段在物理内存中的位置。p_filesz表示该段在文件中的大小。p_memsz表示该段在进程空间中的大小。p_flags表示该段的属性，比如是否可执行、只读、可写等。p_align表示段对齐要求。

四、ELF节区

ELF节区是可执行文件、目标文件、共享库等ELF格式文件的核心部分，包含了各种类型的数据，比如代码、数据、符号表、重定位表等信息。ELF节区由多个节区头表项组成。以下是一个示例：

/* 节区头表结构体 */
typedef struct {
    uint32_t   sh_name;      /* 节区名 */
    uint32_t   sh_type;      /* 节区类型 */
    uint32_t   sh_flags;     /* 节区属性标志 */
    ElfN_Addr  sh_addr;      /* 节区加载地址 */
    ElfN_Off   sh_offset;    /* 节区在文件中的偏移量 */
    uint32_t   sh_size;      /* 节区大小 */
    uint32_t   sh_link;      /* 其他相关节区的链接 */
    uint32_t   sh_info;      /* 其他相关节区信息 */
    uint32_t   sh_addralign; /* 节区对齐 */
    uint32_t   sh_entsize;   /* 大小为节区头表项大小 */
} Elf32_Shdr;

sh_name用于描述当前节区的名称。sh_type表示节区类型，比如代码、数据、符号表、字符串等。sh_flags表示节区的属性标志，比如只读、可写、可执行等。sh_addr表示节区的加载地址。sh_offset表示节区在文件中的偏移量。sh_size表示节区大小。sh_link表示该节区链接的其他相关节区。sh_info表示当前节区的相关信息，比如符号表所在的节区序号。sh_addralign表示节区对齐要求。sh_entsize表示节区头表项大小。

五、ELF操作示例

以下是ELF的一个简单例子，展示了如何使用ELF头部和ELF节区，输出程序的入口点地址和符号表。

#include 
#include 
#include 
#include 
#include 

int main(int argc, char **argv)
{
    int fd, i;
    struct stat st;
    Elf32_Ehdr elfhdr;
    Elf32_Shdr secthdr[100];

    if (argc < 2) {
        printf("Usage: %s elf-file\n", argv[0]);
        return 0;
    }

    /* 打开文件 */
    if ((fd = open(argv[1], O_RDONLY)) < 0) {
        perror("Cannot open file");
        return -1;
    }

    /* 获取文件状态信息 */
    if (fstat(fd, &st) < 0) {
        perror("fstat");
        return -1;
    }

    /* 读取ELF头部 */
    if (read(fd, &elfhdr, sizeof(Elf32_Ehdr)) != sizeof(Elf32_Ehdr)) {
        perror("read");
        return -1;
    }

    /* 跳到节区表的位置 */
    lseek(fd, elfhdr.e_shoff, SEEK_SET);

    /* 读取节区头表 */
    for (i = 0; i < elfhdr.e_shnum; i++) {
        if (read(fd, &(secthdr[i]), sizeof(Elf32_Shdr)) != sizeof(Elf32_Shdr)) {
            perror("read");
            return -1;
        }
    }

    /* 输出程序入口点地址 */
    printf("Entry point: 0x%x\n", elfhdr.e_entry);

    /* 输出符号表 */
    printf("Symbol table:\n");
    for (i = 0; i < elfhdr.e_shnum; i++) {
        if (secthdr[i].sh_type == SHT_SYMTAB) {
            printf("Section %d: %s\n", i, (char *) ((char *) &secthdr[elfhdr.e_shstrndx] + secthdr[i].sh_name));
        }
    }

    /* 关闭文件 */
    close(fd);

    return 0;
}