• Elf文件格式 ELF32or64
• 前言
  • 一丶ELF 程序头
    • 1.2 详解elf头（32or64)
      • 1.2.1 简介
      • 1.2.2 数据表示表格
      • 1.2.3 Elf Hearder表示

Elf文件格式 ELF32or64

前言

本文参考链接： https://segmentfault.com/a/1190000007103522?utm_source=tuicool&utm_medium=referral

非原创。 在学习ELF的过程中记录自己学习的历程。

参考数据： LINUX二进制分析

一丶ELF 程序头

​ 一个ELF文件可以被标记为以下几种类型

在linux有一个readelf的小程序。 可以来查看elf文件。 可以看到原始的elf文件头。

其实所谓的格式就是 C语言中的结构体来做表，并且赋予每个字段含义以及信息。

例子：

>>> readelf -h main.out
ELF 头：
Magic：  7f 45 4c 46 01 01 01 00 00 00 00 00 00 00 00 00
类别:                              ELF32
数据:                              2 补码，小端序 (little endian)
Version:                           1 (current)
OS/ABI:                            UNIX - System V
ABI 版本:                          0
类型:                              DYN (共享目标文件)
系统架构:                          Intel 80386
版本:                              0x1
入口点地址：              0x1070
程序头起点：              52 (bytes into file)
Start of section headers:          13980 (bytes into file)
标志：             0x0
Size of this header:               52 (bytes)
Size of program headers:           32 (bytes)
Number of program headers:         12
Size of section headers:           40 (bytes)
Number of section headers:         30
Section header string table index: 29

elf文件的结构如下

#define EI_NIDENT 16
typedef struct
{
    unsigned char e_ident[EI_NIDENT];
    uint16_t e_type;                    ；表示文件的类型，这里为3 就是ET_DYN类型
    uint16_t e_machine;                 ；表示平台的版本，我使用gcc编译所以标识 intel 8086
    uint32_t e_version;                 ; 表示版本号
    ElfN_Addr e_entry;					; 重要字段标识了入口点位置程序的第一行代码位置
    ElfN_Off e_phoff;                   ; 重要，标识了program table的在文件的偏移开始位置
    ElfN_Off e_shoff;                   ；section header table的偏移位置
    uint32_t e_flags;                   ；保存与文件相关 特定于处理器的标识。
    uint16_t e_ehsize;
    uint16_t e_phentsize;              ；重要字段，表明了program table 每个结构体的大小           
    uint16_t e_phnum;                  ；重要字段，表明programtable有多少项
    uint16_t e_shentsize;              ；表明了sectiontable每一项结构有多大
    uint16_t e_shnum;                  ；表明了sectiontable有多少项
    uint16_t e_shstrndx;               ；节区头部表格中与节区名称字符串相关的表项的索引。
} ElfN_Ehdr;

其实重要的就几个字段

1.ELF文件标识头（4个字节即可）

2. e_entry 记录的程序开始位置
3. e_phoff 记录了program table在文件的起始位置
4. e_ phentsize 记录了program table的每个结构大小
   .5 e_phnum 表明了有多少个 program table

其余的非必须的都可以设置为错误的值。对于程序来说是可以正常运行的。可以进行手动尝试

1.2 详解elf头（32or64)

​ 上面所说是实际应用过程中我们需要重点了解的内容

那么下面就给出详细的elf头。让我们更加的了解elf其他属性以及作用。

1.2.1 简介

​ 可制定链接格式 最初是由UNIX系统实验室开发并且发布的。是作为应用程序二进制接口的一部分。 工具接口委员会还在将发展的ELF标准选作为一种可移植的目标文件格式。 可以在32位的intel体系结构上的很多操作系统中使用。

其中目录文件有三种类型，分别如下表所示：

特点：

目标文件全部是程序的二进制表示。 目的就是直接在某种处理器上直接执行。

1.2.2 数据表示表格

​ 目标文件格式支持8位字节/32位的体系架构。不过他们是可以扩展了。也就是可以运行在现在64位的机器上。

下图则标识各个结构信息的名称 大小 对其方式等等。

目标文件中所有的数据结构都要遵守自然大小和对齐的规则。

如果有必要则会进行对齐操作。

1.2.3 Elf Hearder表示

32位结构如下：

/* ELF Header */
#define EI_NIDENT 16
typedef struct elfhdr {
    unsigned char    e_ident[EI_NIDENT]; /* ELF Identification */
    Elf32_Half    e_type;        /* object file type */
    Elf32_Half    e_machine;    /* machine */
    Elf32_Word    e_version;    /* object file version */
    Elf32_Addr    e_entry;    /* virtual entry point */
    Elf32_Off    e_phoff;    /* program header table offset */
    Elf32_Off    e_shoff;    /* section header table offset */
    Elf32_Word    e_flags;    /* processor-specific flags */
    Elf32_Half    e_ehsize;    /* ELF header size */
    Elf32_Half    e_phentsize;    /* program header entry size */
    Elf32_Half    e_phnum;    /* number of program header entries */
    Elf32_Half    e_shentsize;    /* section header entry size */
    Elf32_Half    e_shnum;    /* number of section header entries */
    Elf32_Half    e_shstrndx;    /* section header table's "section 
                       header string table" entry offset */
} Elf32_Ehdr;

64位结构如下

typedef struct {
    unsigned char    e_ident[EI_NIDENT];    /* Id bytes */
    Elf64_Quarter    e_type;            /* file type */
    Elf64_Quarter    e_machine;        /* machine type */
    Elf64_Half    e_version;        /* version number */
    Elf64_Addr    e_entry;        /* entry point */
    Elf64_Off    e_phoff;        /* Program hdr offset */
    Elf64_Off    e_shoff;        /* Section hdr offset */
    Elf64_Half    e_flags;        /* Processor flags */
    Elf64_Quarter    e_ehsize;        /* sizeof ehdr */
    Elf64_Quarter    e_phentsize;        /* Program header entry size */
    Elf64_Quarter    e_phnum;        /* Number of program headers */
    Elf64_Quarter    e_shentsize;        /* Section header entry size */
    Elf64_Quarter    e_shnum;        /* Number of section headers */
    Elf64_Quarter    e_shstrndx;        /* String table index */
} Elf64_Ehdr;

成员1： e_ident 是一些标识信息。总共大小是16个字节（32位的结构）

其中他是一个数组。 有一些ELF的标识信息，用来标识数组中不同下表的含义。

这就是每个下标的意义。 那么下面分别说下索引中每个值

其余字段意义如下

在LINUX下可以使用 readelf -h youelf 则可以看小elf文件头的信息