1. ELF文件简介
ELF（Executable and Linkable Format）是一种用于Linux及UNIX系统的可执行文件格式。在Linux系统中，大部分的可执行程序、共享库和内核模块都是以ELF格式存储的。ELF文件由多个段（section）组成，每个段具有不同的属性和用途。在Linux系统下，我们可以使用多种方法来查看和探索ELF文件的结构和内容。
2. 使用objdump命令
2.1 查看ELF文件的头部信息
使用objdump命令可以查看ELF文件的头部信息，包括文件类型、目标体系结构、入口地址等。例如，要查看一个名为example的可执行文件的头部信息，可以执行以下命令：
objdump -x example
以下是objdump命令输出的示例：
example: file format elf64-x86-64
architecture: i386:x86-64, flags 0x00000112:
EXEC_P, HAS_SYMS, D_PAGED
start address 0x00000000004003a0
Program Header:
PHDR off 0x0000000000000040 vaddr 0x0000000000400040 paddr 0x0000000000400040 align 2**3
filesz 0x00000000000001f8 memsz 0x00000000000001f8 flags r-x
INTERP off 0x0000000000000238 vaddr 0x0000000000400238 paddr 0x0000000000400238 align 2**0
filesz 0x000000000000001a memsz 0x000000000000001a flags r--
LOAD off 0x0000000000000000 vaddr 0x0000000000400000 paddr 0x0000000000400000 align 2**21
filesz 0x00000000000003b8 memsz 0x00000000000003b8 flags r-x
LOAD off 0x0000000000001000 vaddr 0x0000000000601000 paddr 0x0000000000601000 align 2**21
filesz 0x0000000000000138 memsz 0x0000000000000140 flags rw-
DYNAMIC off 0x0000000000001018 vaddr 0x0000000000601018 paddr 0x0000000000601018 align 2**3
filesz 0x00000000000001f0 memsz 0x00000000000001f0 flags rw-
NOTE off 0x0000000000000254 vaddr 0x0000000000400254 paddr 0x0000000000400254 align 2**2
filesz 0x0000000000000044 memsz 0x0000000000000044 flags r--
[...]
重要部分标记：上述示例中，我们可以看到ELF文件的各个段的偏移量（off）、虚拟地址（vaddr）、物理地址（paddr）、文件大小（filesz）、内存大小（memsz）以及标志（flags）。其中，flags可以指示段的可执行性（x）、可读性（r）和可写性（w）。
2.2 查看ELF文件的节表
ELF文件的节表记录了各个段的详细信息，包括符号表、字符串表、重定位表等。可以使用objdump命令查看节表的内容。以下是一个查看名为example的ELF文件的节表的示例命令：
objdump -s example
以下是objdump命令输出的示例：
example: file format elf64-x86-64
Contents of section .note.GNU-stack:
4000398 00000000 00000000 00000000 00000000 ................
Contents of section .data:
6003e0 48000000 00000000 00000000 00000000 H...............
[...]
重要部分标记：上述示例中，我们可以看到ELF文件中部分节的内容。每个节的内容都以16进制的形式显示。根据objdump命令的输出，我们可以了解各个节的名称和偏移量，并通过读取这些内容来理解ELF文件的结构和代码的实现。
3. 使用readelf命令
3.1 查看ELF文件的头部信息
类似于objdump命令，readelf命令也可以用来查看ELF文件的头部信息。以下是一个使用readelf命令查看名为example的ELF文件头部信息的示例命令：
readelf -h example
以下是readelf命令输出的示例：
ELF Header:
Magic: 7f 45 4c 46 02 01 01 00 00 00 00 00 00 00 00 00
Class: ELF64
Data: 2's complement, little endian
Version: 1 (current)
OS/ABI: UNIX - System V
ABI Version: 0
Type: EXEC (Executable file)
Machine: Advanced Micro Devices X86-64
Version: 0x1
Entry point address: 0x4003a0
Start of program headers: 64 (bytes into file)
Start of section headers: 4664 (bytes into file)
Flags: 0x0
Size of this header: 64 (bytes)
Size of program headers: 56 (bytes)
Number of program headers: 9
Size of section headers: 64 (bytes)
Number of section headers: 31
Section header string table index: 28
重要部分标记：上述示例中，我们可以看到ELF文件的各个头部字段，包括文件类型（Type）、目标体系结构（Machine）、入口地址（Entry point address）等。这些字段提供了有关ELF文件的重要信息，有助于我们了解文件的用途和特性。
3.2 查看ELF文件的符号表
ELF文件的符号表记录了文件中定义和引用的函数、变量等符号的信息。可以使用readelf命令查看符号表的内容。以下是一个查看名为example的ELF文件的符号表的示例命令：
readelf -s example
以下是readelf命令输出的示例：
Symbol table '.symtab' contains 71 entries:
Num: Value Size Type Bind Vis Ndx Name
69: 0000000000601000 0000000000000140 R_X86_64_64 __TMC_END__
[...]
重要部分标记：上述示例中，我们可以看到ELF文件中的符号表的内容。每个符号都具有不同的属性，包括名称、类型、绑定和索引等。通过查看符号表，我们可以了解ELF文件中定义和引用的符号，这对于调试和了解文件的代码实现非常有帮助。
4. 使用objcopy命令
4.1 提取ELF文件中的代码段
objcopy命令可以用于从ELF文件中提取特定的段。我们可以使用objcopy命令提取ELF文件中的代码段，以便进一步分析和调试。以下是一个使用objcopy命令提取名为example的ELF文件中代码段的示例命令：
objcopy -O binary -j .text example example.bin
重要部分标记：上述示例中，我们使用objcopy的命令选项将ELF文件中的.text段提取为二进制文件example.bin。通过这种方式，我们可以将ELF文件中的代码段保存成一个单独的文件，方便进行静态分析或调试。
4.2 提取ELF文件中的数据段
除了代码段，ELF文件还包含数据段，其中包括全局变量、静态变量等数据。类似于代码段的提取方法，我们可以使用objcopy命令提取ELF文件中的数据段。以下是一个使用objcopy命令提取名为example的ELF文件中数据段的示例命令：
objcopy -O binary -j .data example example_data.bin
重要部分标记：上述示例中，我们使用objcopy的命令选项将ELF文件中的.data段提取为二进制文件example_data.bin。通过这种方式，我们可以将ELF文件中的数据段保存成一个单独的文件，方便进行数据分析或调试。
5. 总结
在Linux系统下，我们可以使用多种方法来查看和探索ELF文件的结构和内容。通过使用objdump命令和readelf命令，我们可以查看ELF文件的头部信息、节表和符号表等。这些信息对于了解ELF文件的结构、代码和数据具有重要意义。此外，通过使用objcopy命令，我们还可以提取ELF文件中的代码段和数据段，方便进行静态分析和调试。
在探索ELF文件时，我们可以重点关注ELF文件的头部字段、各个段的属性和内容，以及符号表记录的符号信息。这些信息有助于我们理解和分析ELF文件的结构和功能，提高代码调试和优化的效率。