Re Format Elf

ELF 格式解析

何时使用 / 何时不用

• 用：目标是 Linux ELF 可执行文件或 .so 共享库，需要理解结构、看 .init_array、GOT/PLT 与符号、评估安全属性
• 不用：PE（走 [[re-format-pe]]）、Mach-O（走 [[re-format-macho]]）；裸二进制固件（非标准 ELF，走 [[re-firmware]] 域）
• 不用：只需函数逻辑（直接反编译技能）

工具准备

参考 [[re-analyze/platform-tips]]——ELF 目标多为 Linux 本地分析；跨架构（ARM/MIPS 固件 ELF）可用 QEMU 用户态仿真，静态分析无需沙箱。

readelf（binutils）

• Linux: apt install binutils / dnf install binutils / pacman -S binutils
• macOS: brew install binutils（greadelf）
• WSL: Linux 版
• 验证: readelf --version

objdump（binutils）

• 同上（macOS 为 gobjdump）
• 验证: objdump -V

elfutils（eu-* 工具族）

• Linux: apt install elfutils / dnf install elfutils / pacman -S elfutils
• macOS: brew install elfutils（eu-readelf 等）
• 验证: eu-readelf -h /bin/ls

patchelf（修改 ELF 头/加载器）

• Linux: apt install patchelf / dnf install patchelf / pacman -S patchelf
• macOS: brew install patchelf
• 验证: patchelf --version
• 用途: 分析辅助（改 RPATH/解释器）与修复，分析时先只读

操作步骤

1. readelf 三表（ehdr/phdr/shdr）：

   readelf -h sample        # ELF 头: Class/Machine/Entry/Type
   readelf -l sample        # program headers（段→装载偏移，动态加载与 GNU_STACK 在这里）
   readelf -S sample        # section headers（节→地址/大小/标志）

   三表对照: -h 给入口点，-l 给运行时内存布局，-S 给静态节视图。

2. 结构速览（ehdr/phdr/shdr 布局）：ELF 文件 = 头 + 程序头表 + 节区 + 节头表；64 位下 ehdr 64 字节、phdr 56 字节/条、shdr 64 字节/条。ehdr 关键字段与偏移：

   0x00  e_ident[16]  magic(7F 45 4C 46)+class(0x04:1=32位/2=64位)+data(0x05)+OSABI(0x07)
   0x10  e_type        1=REL 2=EXEC 3=DYN(PIE/so) 4=CORE
   0x12  e_machine     62=x86-64 3=i386 183=AArch64 243=RISC-V 8=MIPS
   0x18  e_entry       入口点
   0x20  e_phoff       程序头表偏移
   0x28  e_shoff       节头表偏移
   0x34  e_ehsize      64（32 位为 52）
   0x38  e_phnum | 0x3A e_shentsize | 0x3C e_shnum | 0x3E e_shstrndx

   三表关系: readelf -h 输出的每个字段都能在文件前 64 字节里手工核对（xxd -l 64）；程序头描述"哪些文件区段按什么权限/对齐映射到内存"，节头描述"文件里的符号/字符串/代码等命名区段"。字段全表与布局图见 [[layout]]。

3. 初始化与终止回调（.init_array / .fini_array）：

   readelf -S sample | grep -iE 'init_array|fini_array'
   readelf -a sample | grep -A5 -i 'init_array'
   objdump -s -j .init_array sample     # .init_array 是函数指针数组（数据节），用 -s 打印内容；-d 只反汇编代码节，实际不输出
   # 取到指针后逐个 `objdump -d --start-address=<ptr> --stop-address=<ptr+len> sample` 看回调函数

   两者的执行时机不同，别混为一谈：.init_array 中的函数指针在启动初始化阶段（main 之前）按数组正序执行——初始化/反调试/解密常藏在这里，必须最先查；.fini_array 中的指针在退出/dlclose 清理阶段执行、按数组逆序，不紧跟 main（详见坑项）。

4. GOT/PLT 与动态符号：

   objdump -d -j .plt sample            # PLT 桩（外部函数调用入口）
   readelf -r sample | head -40         # 重定位表（含 GOT 条目）
   readelf -s sample | grep FUNC        # 符号表（动态符号在 .dynsym）
   objdump -T sample | grep UND         # 未定义符号 = 导入

5. 动态链接结构解析要点（.so 与动态可执行文件必查）：

   readelf -d sample                    # dynamic section: DT_* 标签
   readelf -s sample | head -20         # .dynsym 动态符号（导入/导出）
   readelf -r sample | grep -E 'JUMP_SLOT|GLOB_DAT|RELATIVE'

   关联链: DT_STRTAB/DT_SYMTAB 标签指向 dynstr/dynsym，符号表按 DT_SYMENT 给出的 entry size 定长遍历（标准 ELF32 的 Elf32_Sym 为 16 字节、ELF64 为 24 字节；读 DT_SYMENT 并按该步长走，勿硬编码 24）；DT_GNU_HASH（新）替代 DT_HASH（旧）做符号查找；重定位类型决定 GOT 槽行为——R_X86_64_JUMP_SLOT(PLT 跳转)、GLOB_DAT(全局变量)、RELATIVE(基址相对)。DT_BIND_NOW（或 FLAGS 的 DF_BIND_NOW）出现 = 启动时完成全部绑定、无惰性绑定（现代发行版默认）；但 RELRO 是独立条件——全 RELRO = PT_GNU_RELRO 段 + BIND_NOW 同时成立（GOT 转只读）；只有 PT_GNU_RELRO 是 Partial RELRO，只有 BIND_NOW 推不出 RELRO。动态区解析细节见 [[layout]]。

6. stripped 二进制符号恢复思路：

   readelf -s sample | wc -l            # 如果只剩 .dynsym（几十个），说明被 strip
   strings -n 6 sample | grep -iE 'error|usage|\.so'   # 错误消息泄露内部函数名

   恢复流程: 字符串交叉引用（strings -t x 取偏移 → 在 Ghidra/radare2 中定位引用）→ 对常见库函数做签名匹配（Ghidra FLIRT / rizin z 签名）→ 从 main 入口逆推调用关系。

7. 安全属性检查：

   readelf -l sample | grep -E 'GNU_STACK|GNU_RELRO'
   # GNU_STACK 无 E 标志 = 不可执行栈（NX）
   # GNU_RELRO 存在 + BIND_NOW = 全 RELRO；GOT 只读
   readelf -s sample | grep -c __stack_chk_fail   # >0 仅为 SSP 线索（静态链接会因 libc 自带 SSP 误报；SSP 按函数施加，不代表全部函数受保护）

   RELRO/Canary/NX 情况决定后续动态分析（如 GOT 是否可写）与 [[re-imports]] 的劫持面判断。

8. 手工解析与验证：readelf 输出异常/头字段被伪造时，用 xxd + Python struct 按偏移直接解析 ehdr/phdr/shdr（最小可运行示例与字节样例见 [[examples]]），别把解析失败当"损坏文件"丢弃。