![读取ELF文件的程序头内容](https://linux22.com/image/6010/%E8%AF%BB%E5%8F%96ELF%E6%96%87%E4%BB%B6%E7%9A%84%E7%A8%8B%E5%BA%8F%E5%A4%B4%E5%86%85%E5%AE%B9.png)
如何从 ELF 文件中单独提取可加载程序头?通过使用 readelf 检查二进制文件,可以获得类似于以下内容的输出:
$ readelf -l helloworld
Elf file type is EXEC (Executable file)
Entry point 0x400440
There are 9 program headers, starting at offset 64
Program Headers:
Type Offset VirtAddr PhysAddr
FileSiz MemSiz Flags Align
PHDR 0x0000000000000040 0x0000000000400040 0x0000000000400040
0x00000000000001f8 0x00000000000001f8 R E 8
INTERP 0x0000000000000238 0x0000000000400238 0x0000000000400238
0x000000000000001c 0x000000000000001c R 1
[Requesting program interpreter: /lib64/ld-linux-x86-64.so.2]
LOAD 0x0000000000000000 0x0000000000400000 0x0000000000400000
0x000000000000070c 0x000000000000070c R E 200000
LOAD 0x0000000000000e10 0x0000000000600e10 0x0000000000600e10
0x0000000000000230 0x0000000000000238 RW 200000
DYNAMIC 0x0000000000000e28 0x0000000000600e28 0x0000000000600e28
0x00000000000001d0 0x00000000000001d0 RW 8
NOTE 0x0000000000000254 0x0000000000400254 0x0000000000400254
0x0000000000000044 0x0000000000000044 R 4
GNU_EH_FRAME 0x00000000000005e4 0x00000000004005e4 0x00000000004005e4
0x0000000000000034 0x0000000000000034 R 4
GNU_STACK 0x0000000000000000 0x0000000000000000 0x0000000000000000
0x0000000000000000 0x0000000000000000 RW 10
GNU_RELRO 0x0000000000000e10 0x0000000000600e10 0x0000000000600e10
0x00000000000001f0 0x00000000000001f0 R 1
Section to Segment mapping:
Segment Sections...
00
01 .interp
02 .interp .note.ABI-tag .note.gnu.build-id .gnu.hash .dynsym .dynstr .gnu.version .gnu.version_r .rela.dyn .rela.plt .init .plt .text .fini .rodata .eh_frame_hdr .eh_frame
03 .init_array .fini_array .jcr .dynamic .got .got.plt .data .bss
04 .dynamic
05 .note.ABI-tag .note.gnu.build-id
06 .eh_frame_hdr
07
08 .init_array .fini_array .jcr .dynamic .got
这问题回答了可加载标头如何映射到内存(以及在哪里),但没有指定从哪里(从哪个偏移量和大小)是在给定二进制文件中读取的部分。
是否由当前程序头的字段决定p_偏移量和p_filesz?
答案1
引用man elf
(但你可以从 ELF 规范中找到相同的信息):
p_offset:该成员保存段的第一个字节所在的文件开头的偏移量。
p_filesz:该成员保存该段的文件映像中的字节数。它可能为零。
p_memsz:该成员保存段的内存映像中的字节数。它可能为零。
总结一下:
p_offset
是该段在ELF文件中的偏移量;p_memsz
是段的大小在记忆中;p_filesz
是段的大小在文件中。
文件中的大小可能小于内存中的大小p_memsz
:在这种情况下,段的剩余部分用 zersos 填充(在 POSIX-ish 系统上,这部分使用mmap
-ped MAP_ANONYMOUS
)。
来自 GNU 的参考资料ld.so
:
您可能感兴趣elfcat的代码(我编写的一个工具)它将给定的段转储到标准输出。