Razumevanje oblike datoteke ELF

Od izvorne kode do binarne kode

Programiranje se začne s pametno idejo in pisanjem izvorne kode v programski jezik po vaši izbiri, na primer C, in shranjevanjem izvorne kode v datoteko. S pomočjo ustreznega prevajalnika, na primer GCC, se vaša izvorna koda najprej prevede v kodo objekta. Sčasoma povezovalnik prevede kodo objekta v binarno datoteko, ki kodo objekta poveže z referenčnimi knjižnicami. Ta datoteka vsebuje posamezna navodila kot strojno kodo, ki jih razume CPU, in se izvedejo takoj, ko se zažene prevedeni program.

Zgoraj omenjena binarna datoteka sledi določeni strukturi, ena najpogostejših pa se imenuje ELF, ki skrajša izvedljiv in povezljiv format. Široko se uporablja za izvedljive datoteke, premestljive predmetne datoteke, knjižnice v skupni rabi in odlagališča jedra.

Pred dvajsetimi leti-leta 1999-je projekt 86open izbral ELF za standardno binarno datotečno obliko za sisteme Unix in Unixu podobne na procesorjih x86. Na srečo je bil format ELF predhodno dokumentiran v binarnem vmesniku aplikacije System V in v standardu vmesnika orodja [4]. To dejstvo je močno poenostavilo dogovor o standardizaciji med različnimi prodajalci in razvijalci operacijskih sistemov, ki temeljijo na Unixu.

Razlog za to odločitev je bila zasnova ELF-prilagodljivost, razširljivost in podpora za različne platforme za različne formate in velikosti naslovov. Zasnova ELF ni omejena na poseben procesor, nabor navodil ali arhitekturo strojne opreme. Za podrobno primerjavo izvedljivih datotek, si oglejte tukaj [3].

Od takrat format ELF uporablja več različnih operacijskih sistemov. Med drugim to vključuje Linux, Solaris/Illumos, Free-, Net- in OpenBSD, QNX, BeOS/Haiku in Fuchsia OS [2]. Poleg tega ga boste našli na mobilnih napravah z operacijskim sistemom Android, Maemo ali Meego OS/Sailfish OS, pa tudi na igralnih konzolah, kot so PlayStation Portable, Dreamcast in Wii.

Specifikacija ne pojasnjuje razširitve imena datotek ELF. V uporabi so različne kombinacije črk, kot so .axf, .bin, .elf, .o, .prx, .puff, .ko, .so in .mod ali nobena.

Struktura datoteke ELF

Na terminalu Linux vam ukaz man elf poda priročen povzetek o strukturi datoteke ELF:

Oglas 1: Priročna stran strukture ELF

Kot lahko vidite iz zgornjega opisa, je datoteka ELF sestavljena iz dveh razdelkov - glave ELF in podatkov o datoteki. Odsek podatkovnih datotek je lahko sestavljen iz tabele glave programa, ki opisuje nič ali več segmentov, tabele glave razdelka, ki opisuje nič ali več odsekov, ki ji sledijo podatki, na katere se nanašajo vnosi iz tabele glave programa, in tabele glave razdelka. Vsak segment vsebuje informacije, ki so potrebne za izvajanje datoteke med izvajanjem, medtem ko odseki vsebujejo pomembne podatke za povezovanje in premestitev. Slika 1 to shematično prikazuje.

Glava ELF

Glava ELF je dolga 32 bajtov in označuje obliko datoteke. Začne se z zaporedjem štirih edinstvenih bajtov, ki so 0x7F, ki jim sledijo 0x45, 0x4c in 0x46, kar pomeni tri črke E, L in F. Med drugimi vrednostmi glava označuje tudi, ali gre za datoteko ELF za 32 ali 64-bitni format, ki uporablja malo ali veliko endianness, prikazuje različico ELF in tudi, za kateri operacijski sistem je bila datoteka sestavljena, da bi lahko delovala z desnim aplikacijskim binarnim vmesnikom (ABI) in nizom navodil za procesor.

Šestnajstni zapis binarne datoteke na dotik izgleda tako:

.Listing 2: šestnajstiški zapis binarne datoteke

Debian GNU/Linux ponuja ukaz readelf, ki je na voljo v paketu 'binutils' GNU. V spremstvu stikala -h (kratka različica za –file -header) lepo prikaže glavo datoteke ELF. V razdelku 3 je prikazano to za ukaz touch.

.Listing 3: Prikaz glave datoteke ELF

Glava programa

Glava programa prikazuje segmente, ki se uporabljajo med izvajanjem, in sistemu pove, kako ustvari sliko procesa. Glava iz seznama 2 prikazuje, da je datoteka ELF sestavljena iz 9 programskih glav, ki imajo velikost 56 bajtov vsak, prva glava pa se začne pri 64 bajtih.

Ponovno ukaz readelf pomaga izvleči podatke iz datoteke ELF. Stikalo -l (okrajšava za –programske glave ali –segmente) razkrije več podrobnosti, kot je prikazano v razvrstitvi 4.

.Listing 4: Prikaz informacij o glavah programa

Glava razdelka

Tretji del strukture ELF je glava razdelka. Namenjen je seznamu posameznih odsekov binarne datoteke. Stikalo -S (okrajšava za –sections -headers ali –sections) navaja različne glave. Kar zadeva ukaz na dotik, je 27 glav razdelkov, v seznamu 5 pa so prikazani samo prvi štirje in zadnji. Vsaka vrstica zajema velikost odseka, vrsto odseka ter naslov in zamik pomnilnika.

.Uvrstitev 5: Readelf razkriva podrobnosti oddelka

Orodja za analizo datoteke ELF

Kot ste morda zapisali iz zgornjih primerov, je GNU/Linux dopolnjen s številnimi uporabnimi orodji, ki vam pomagajo analizirati datoteko ELF. Prvi kandidat, ki si ga bomo ogledali, je pripomoček za datoteke.

file prikazuje osnovne podatke o datotekah ELF, vključno z arhitekturo nabora navodil, za katero je namenjena koda v datoteki predmeta, ki jo je mogoče premestiti, izvršljivo ali v skupni rabi. V seznamu 6 vam pove, da je/bin/touch 64-bitna izvedljiva datoteka, ki sledi Linux Standard Base (LSB), dinamično povezana in zgrajena za različico jedra GNU/Linux 2.6.32.

.Listing 6: Osnovni podatki z uporabo datoteke

Drugi kandidat se prebere sam. Prikazuje podrobne informacije o datoteki ELF. Seznam stikal je primerljivo dolg in zajema vse vidike formata ELF. Z uporabo stikala -n (okrajšava za –notes) V seznamu 7 so prikazani samo odseki opomb, ki obstajajo v dotiku datoteke -oznaka različice ABI in bitni niz nizov gradnje.

.Listing 7: Prikaz izbranih odsekov datoteke ELF

Upoštevajte, da pod Solarisom in FreeBSD pripomoček elfdump [7] ustreza readelf. Od leta 2019 ni bilo nove izdaje ali posodobitve od leta 2003.

Tretji je paket z imenom elfutils [6], ki je izključno na voljo za Linux. Ponuja alternativna orodja za GNU Binutils in omogoča tudi preverjanje datotek ELF. Upoštevajte, da se vsa imena pripomočkov, navedenih v paketu, začnejo z eu za „elf utils“.

Ne nazadnje bomo omenili objdump. To orodje je podobno readelfu, vendar se osredotoča na predmetne datoteke. Zagotavlja podoben obseg informacij o datotekah ELF in drugih oblikah objektov.

.Listing 8: Podatki o datoteki, pridobljeni s strani objdump

Obstaja tudi programski paket, imenovan „elfkickers“ [9], ki vsebuje orodja za branje vsebine datoteke ELF in njeno upravljanje. Žal je število izdaj precej nizko, zato ga le omenjamo in ne prikazujemo nadaljnjih primerov.

Kot razvijalec si lahko namesto tega ogledate 'pax-utils' [10,11]. Ta nabor pripomočkov ponuja številna orodja, ki pomagajo potrditi datoteke ELF. Dumpelf na primer analizira datoteko ELF in vrne datoteko glave C, ki vsebuje podrobnosti - glej sliko 2.

Zaključek

Zahvaljujoč kombinaciji pametnega oblikovanja in odlične dokumentacije, format ELF deluje zelo dobro in je še vedno v uporabi po 20 letih. Zgoraj prikazani pripomočki vam omogočajo vpogled v datoteko ELF in vam omogočajo, da ugotovite, kaj počne program. To so prvi koraki za analizo programske opreme - veselo vdiranje!

Povezave in reference

• [1] Izvedljiv in povezljiv format (ELF), Wikipedia
• [2] Fuchsia OS
• [3] Primerjava izvedljivih datotek, Wikipedia
• [4] Linux Foundation, referenčne specifikacije
• [5] Ciro Santilli: ELF Hello World Tutorial
• [6] elfutils paket Debian
• [7] elfdump
• [8] Michael Boelen: 101 datotek ELF v Linuxu: razumevanje in analiza
• [9] elfkickers
• [10] Utrjeni/PaX pripomočki
• [enajst] pax-utils, paket Debian

Zahvala

Pisatelj se zahvaljuje Axel Beckert za podporo pri pripravi tega članka.