Разумевање ЕЛФ формата датотеке

Као што видите из горњег описа, ЕЛФ датотека се састоји од два одељка - ЕЛФ заглавља и података датотеке. Одељак података датотеке може се састојати од табеле заглавља програма која описује нула или више сегмената, табеле заглавља одељка која описује нула или више одељака, а затим следе подаци на које се позивају уноси из табеле заглавља програма и табеле заглавља одељка. Сваки сегмент садржи информације које су неопходне за извршавање датотеке током извођења, док одељци садрже важне податке за повезивање и пресељење. Слика 1 ово схематски илуструје.

ЕЛФ заглавље

ЕЛФ заглавље дугачко је 32 бајта и идентификује формат датотеке. Почиње секвенцом од четири јединствена бајта која су 0к7Ф, а затим 0к45, 0к4ц и 0к46 што се преводи у три слова Е, Л и Ф. Између осталих вредности, заглавље такође указује да ли се ради о ЕЛФ датотеци за 32 или 64-битни формат, користи мали или велики ендианнесс, приказује верзију ЕЛФ-а, као и за који оперативни систем је датотека компајлирана да би се могло интероперовати са бинарни интерфејс десне апликације (АБИ) и скуп инструкција процесора.

Хекдумп додира бинарне датотеке изгледа овако:

.Унос 2: Хекдумп бинарне датотеке

Дебиан ГНУ / Линук нуди наредбу реаделф која је наведена у ГНУ 'бинутилс' пакету. У пратњи преклопника -х (кратка верзија за „-филе-хеадер“) лепо приказује заглавље ЕЛФ датотеке. Напис 3 илуструје ово за команду тоуцх.

.Унос 3: Приказивање заглавља ЕЛФ датотеке

Заглавље програма

Заглавље програма приказује сегменте који се користе током извођења и говори систему како да креира слику процеса. Заглавље из листе 2 показује да се ЕЛФ датотека састоји од 9 заглавља програма који имају величину од 56 бајтова, а прво заглавље почиње у бајту 64.

Поново, наредба реаделф помаже у издвајању информација из ЕЛФ датотеке. Прекидач -л (скраћеница од -програм-заглавља или -сегменти) открива више детаља као што је приказано у листи 4.

.Унос 4: Прикажите информације о заглављима програма

Заглавље секције

Трећи део ЕЛФ структуре је заглавље одељка. Намењено је навођењу појединачних одељака бинарног система. Прекидач -С (скраћеница од -сецтион-хеадерс или -сецтионс) наводи различита заглавља. Што се тиче команде додира, постоји 27 заглавља одељака, а на листи 5 су приказана само прва четири и последњи. Свака линија покрива величину секције, тип секције као и њену адресу и помак меморије.

.Списак 5: Детаље о одељку објавио реаделф

Алати за анализу ЕЛФ датотеке

Као што сте могли приметити из горњих примера, ГНУ / Линук је представљен низом корисних алата који вам помажу да анализирате ЕЛФ датотеку. Први кандидат који ћемо погледати је услужни програм за датотеке.

датотека приказује основне информације о ЕЛФ датотекама, укључујући архитектуру скупа инструкција којој је намењен код у датотеци која се може преместити, извршити или делити. У списку 6 вам говори да је / бин / тоуцх 64-битна извршна датотека која следи Линук Стандард Басе (ЛСБ), динамички повезана и направљена за ГНУ / Линук кернел верзију 2.6.32.

.Списак 6: Основне информације помоћу датотеке

Други кандидат је читав. Приказује детаљне информације о ЕЛФ датотеци. Листа прекидача је сразмерно дуга и покрива све аспекте ЕЛФ формата. Коришћење прекидача -н (скраћено од -нотес) На списку 7 приказани су само одељци белешки који постоје у додиру датотеке - ознака верзије АБИ и битстринг ИД-а градње.

.Списак 7: Прикажите изабране одељке ЕЛФ датотеке

Имајте на уму да под Соларис и ФрееБСД услужни програм елфдумп [7] одговара реаделф-у. Од 2019. године није било новог издања или ажурирања од 2003. године.

Број три је пакет назван елфутилс [6] који је искључиво доступан за Линук. Пружа алтернативне алате за ГНУ Бинутилс, а такође омогућава потврђивање ЕЛФ датотека. Имајте на уму да сва имена услужних програма наведена у пакету почињу са еу за „елф утилс“.

На крају, али не најмање важно, поменућемо објдумп. Овај алат је сличан реаделф-у, али се фокусира на објектне датотеке. Пружа сличан опсег информација о ЕЛФ датотекама и другим објектним форматима.

.Списак 8: Информације о датотекама издвојио објдумп

Постоји и софтверски пакет под називом „елфкицкерс“ [9] који садржи алате за читање садржаја ЕЛФ датотеке, као и за манипулисање њоме. Нажалост, број издања је прилично низак и зато га само помињемо и не показујемо даље примере.

Као програмер, можда ћете погледати 'пак-утилс' [10,11]. Овај скуп услужних програма пружа бројне алате који помажу у валидацији ЕЛФ датотека. Као пример, думпелф анализира ЕЛФ датотеку и враћа датотеку заглавља Ц која садржи детаље - погледајте слику 2.

Закључак

Захваљујући комбинацији паметног дизајна и одличне документације, ЕЛФ формат делује веома добро и још увек је у употреби након 20 година. Горе приказани услужни програми омогућавају вам увид у ЕЛФ датотеку и омогућавају вам да откријете шта програм ради. Ово су први кораци за анализу софтвера - срећно хаковање!

Везе и референце

• [1] Извршни и повезиви формат (ЕЛФ), Википедиа
• [2] Фуцхсиа ОС
• [3] Поређење формата извршних датотека, Википедиа
• [4] Линук Фоундатион, референциране спецификације
• [5] Циро Сантилли: Водич за ЕЛФ Хелло Ворлд
• [6] елфутилс Дебиан пакет
• [7] елфдумп
• [8] Мицхаел Боелен: 101 ЕЛФ датотека на Линук-у: Разумевање и анализа
• [9] елфкицкерс
• [10] Очврсли / ПаКс услужни програми
• [11] пак-утилс, пакет Дебиан

Захвалнице

Писац би желео да се захвали Акселу Бекерту на подршци у вези са припремом овог чланка.