Linux ELF簡介及深入淺出

一、ELF簡介

ELF(Executable and Linkable Format)是目前主流操作系統使用的二進制文件格式。在Linux及其他Unix系統中，可執行文件、目標文件和共享庫都是以ELF格式存儲的。它是一種與CPU無關的二進制文件格式，可以在不同的系統上運行。

ELF格式的文件分為三部分：頭部、程序頭表和節區。頭部包含了文件的基本信息以及可執行文件的入口點等信息；程序頭表用於描述如何創建執行進程的內存布局；節區則包含了文件中各種數據和代碼信息。

二、ELF頭部

ELF頭部是整個ELF文件的起始部分，用於描述整個文件的基本信息。ELF頭部長度固定為52個字節，通常使用elf.h頭文件定義。以下是一個示例：

/* ELF頭部結構體 */
typedef struct {
    unsigned char e_ident[EI_NIDENT]; /* 文件標識 */
    uint16_t      e_type;            /* 文件類型 */
    uint16_t      e_machine;         /* 機器類型 */
    uint32_t      e_version；        /* 文件版本 */
    ElfN_Addr     e_entry;           /* 程序入口 */
    ElfN_Off      e_phoff;           /* 程序頭表偏移量 */
    ElfN_Off      e_shoff;           /* 節區頭表偏移量 */
    uint32_t      e_flags;           /* 處理器特定標誌 */
    uint16_t      e_ehsize;          /* ELF頭部長度 */
    uint16_t      e_phentsize;       /* 程序頭部長度 */
    uint16_t      e_phnum;           /* 程序頭表中表項數量 */
    uint16_t      e_shentsize;       /* 節區頭部長度 */
    uint16_t      e_shnum;           /* 節區頭表中表項數量 */
    uint16_t      e_shstrndx;        /* 包含節區名稱表的節區索引 */
} Elf32_Ehdr;

e_ident數組用於描述文件的標識信息，其長度為16字節，它的第一個字節指示文件的類別，1表示32位，2表示64位。e_type表示文件類型，比如可執行文件、目標文件、共享庫等。e_machine表示CPU類型。e_version表示文件版本。e_entry表示可執行文件的入口點地址。e_phoff表示程序頭表偏移量。e_shoff表示節區頭表偏移量。e_flags表示處理器特定標誌。e_ehsize表示ELF頭部長度。e_phentsize表示程序頭表中單個表項的長度。e_phnum表示程序頭表中表項個數。e_shentsize表示節區頭表中單個表項的長度。e_shnum表示節區頭表中表項個數。e_shstrndx表示包含節區名稱表的節區索引。

三、ELF程序頭表

ELF程序頭表是可執行文件和共享庫中用於描述加載和執行過程的一部分數據。ELF程序頭表是由多個表項組成的動態鏈接器使用的數據結構，分別描述每個程序段的地址、長度、文件偏移等信息。以下是一個示例：

/* 程序頭表結構體 */
typedef struct {
    uint32_t   p_type;            /* Header類型 */
    ElfN_Off   p_offset;          /* 該節區的文件偏移量 */
    ElfN_Addr  p_vaddr;           /* 該段的首字節在進程虛擬地址上的地址 */
    ElfN_Addr  p_paddr;           /* 該段的首字節在物理地址上的地址 */
    uint32_t   p_filesz;          /* 該節區的文件長度 */
    uint32_t   p_memsz；           /* 該段的內存長度 */
    uint32_t   p_flags;           /* 屬性 */
    uint32_t   p_align;           /* 對齊要求 */
} Elf32_Phdr;

p_type表示該段的類型，比如可執行、只讀、可寫等。p_offset表示該段在文件中的偏移量。p_vaddr表示該段在進程虛擬地址空間中的位置。p_paddr表示該段在物理內存中的位置。p_filesz表示該段在文件中的大小。p_memsz表示該段在進程空間中的大小。p_flags表示該段的屬性，比如是否可執行、只讀、可寫等。p_align表示段對齊要求。

四、ELF節區

ELF節區是可執行文件、目標文件、共享庫等ELF格式文件的核心部分，包含了各種類型的數據，比如代碼、數據、符號表、重定位表等信息。ELF節區由多個節區頭表項組成。以下是一個示例：

/* 節區頭表結構體 */
typedef struct {
    uint32_t   sh_name;      /* 節區名 */
    uint32_t   sh_type;      /* 節區類型 */
    uint32_t   sh_flags;     /* 節區屬性標誌 */
    ElfN_Addr  sh_addr;      /* 節區加載地址 */
    ElfN_Off   sh_offset;    /* 節區在文件中的偏移量 */
    uint32_t   sh_size;      /* 節區大小 */
    uint32_t   sh_link;      /* 其他相關節區的鏈接 */
    uint32_t   sh_info;      /* 其他相關節區信息 */
    uint32_t   sh_addralign; /* 節區對齊 */
    uint32_t   sh_entsize;   /* 大小為節區頭表項大小 */
} Elf32_Shdr;

sh_name用於描述當前節區的名稱。sh_type表示節區類型，比如代碼、數據、符號表、字符串等。sh_flags表示節區的屬性標誌，比如只讀、可寫、可執行等。sh_addr表示節區的加載地址。sh_offset表示節區在文件中的偏移量。sh_size表示節區大小。sh_link表示該節區鏈接的其他相關節區。sh_info表示當前節區的相關信息，比如符號表所在的節區序號。sh_addralign表示節區對齊要求。sh_entsize表示節區頭表項大小。

五、ELF操作示例

以下是ELF的一個簡單例子，展示了如何使用ELF頭部和ELF節區，輸出程序的入口點地址和符號表。

#include 
#include 
#include 
#include 
#include 

int main(int argc, char **argv)
{
    int fd, i;
    struct stat st;
    Elf32_Ehdr elfhdr;
    Elf32_Shdr secthdr[100];

    if (argc < 2) {
        printf("Usage: %s elf-file\n", argv[0]);
        return 0;
    }

    /* 打開文件 */
    if ((fd = open(argv[1], O_RDONLY)) < 0) {
        perror("Cannot open file");
        return -1;
    }

    /* 獲取文件狀態信息 */
    if (fstat(fd, &st) < 0) {
        perror("fstat");
        return -1;
    }

    /* 讀取ELF頭部 */
    if (read(fd, &elfhdr, sizeof(Elf32_Ehdr)) != sizeof(Elf32_Ehdr)) {
        perror("read");
        return -1;
    }

    /* 跳到節區表的位置 */
    lseek(fd, elfhdr.e_shoff, SEEK_SET);

    /* 讀取節區頭表 */
    for (i = 0; i < elfhdr.e_shnum; i++) {
        if (read(fd, &(secthdr[i]), sizeof(Elf32_Shdr)) != sizeof(Elf32_Shdr)) {
            perror("read");
            return -1;
        }
    }

    /* 輸出程序入口點地址 */
    printf("Entry point: 0x%x\n", elfhdr.e_entry);

    /* 輸出符號表 */
    printf("Symbol table:\n");
    for (i = 0; i < elfhdr.e_shnum; i++) {
        if (secthdr[i].sh_type == SHT_SYMTAB) {
            printf("Section %d: %s\n", i, (char *) ((char *) &secthdr[elfhdr.e_shstrndx] + secthdr[i].sh_name));
        }
    }

    /* 關閉文件 */
    close(fd);

    return 0;
}