elf文件結構解讀以及plt節got節的理解

本文轉載自查看原文 2021-01-17 18:18 382 安卓軟件安全與逆向分析

前言:

　　熟悉elf文件結構是一件很不錯的事，因為安卓中的so加固以及修復都是需要這些知識的，包括pwn里面的rop之類的，也都是

和got節，plt節息息相關的，個人建議是在搞懂elf文件結構后，自己實現一個解析器，把注釋寫好，方便忘了再進一步重溫，寫的不好

見諒。

一. elf文件概述

elf文件包括了可執行文件，共享文件，目標文件這三類，其中安卓中涉及到的就是so文件，這個其實就是一個共享文件，類似

windows上的dll文件，目標文件是匯編文件，后綴為.o的文件，與可執行文件不同的是，並沒有段頭表，因為段是由相同功能的

節組合成的，而目標文件只是一個模塊，並沒有和其他模塊進行鏈接，也就是節也沒有合並，所以不存在段這個概念，程序的入口點

地址也是為空的，可執行文件和共享文件的話，大體結構和目標文件相同，多了段的概念，然后提供了兩種視圖（鏈接視圖和裝載視圖)

二.elf文件結構

看起來其實不復雜，文件頭，程序頭表，節頭表，節，段（其實就是相同功能節的組合體），接下來單獨說說各個部分

三.elf文件頭

這里搬出來010editor來看,這里是我導入之前做的crackme的so文件

好像名字奇奇怪怪的，我直接搬上，elf結構體定義

typedef struct
 
{
 
    unsigned char e_ident[EI_NIDENT];  /* Magic number and other info */
 
    Elf32_Half   e_type;         /* Object file type */
 
    Elf32_Half   e_machine;       /* Architecture */
 
    Elf32_Word   e_version;       /* Object file version */
 
    Elf32_Addr   e_entry;    /* Entry point virtual address */
 
    Elf32_Off   e_phoff;    /* Program header table file offset */
 
    Elf32_Off   e_shoff;    /* Section header table file offset */
 
    Elf32_Word   e_flags;    /* Processor-specific flags */
 
    Elf32_Half   e_ehsize;       /* ELF header size in bytes */
 
    Elf32_Half   e_phentsize;     /* Program header table entry size */
 
    Elf32_Half   e_phnum;    /* Program header table entry count */
 
    Elf32_Half   e_shentsize;     /* Section header table entry size */
 
    Elf32_Half   e_shnum;    /* Section header table entry count */
 
    Elf32_Half   e_shstrndx;      /* Section header string table index */
 
} Elf32_Ehdr;

重點說說幾個字段，沒說的說明比較簡單易懂

1. e_ident:魔數，標識是哪個文件

2. e_phoff：程序頭表在文件中的偏移

3. e_shoff: 程序節表在文件中的編譯

4.e_phentsize: elf頭占多少字節，32位的so，一般為52個字節

5. e_phnum: 程序頭表中有關程序頭的結構體個數，類似一個int數組，中int的個數

6. e_shnum: 和e_phnum差不多，把主語換成節頭表

7. e_shstrndx: .strtab節在節頭表的下標，因為里面存着所有節的名字

四.節頭表解析

typedef struct
{
  Elf32_Word    sh_name;        /* Section name (string tbl index) */
  Elf32_Word    sh_type;        /* Section type */
  Elf32_Word    sh_flags;        /* Section flags */
  Elf32_Addr    sh_addr;        /* Section virtual addr at execution */
  Elf32_Off    sh_offset;        /* Section file offset */
  Elf32_Word    sh_size;        /* Section size in bytes */
  Elf32_Word    sh_link;        /* Link to another section */
  Elf32_Word    sh_info;        /* Additional section information */
  Elf32_Word    sh_addralign;        /* Section alignment */
  Elf32_Word    sh_entsize;        /* Entry size if section holds table */
} Elf32_Shdr;