Linux readelf 命令实战示例

简介

在本实验中，你将学习 Linux 的 readelf 命令及其实际应用。readelf 是一个强大的工具，用于分析 ELF（Executable and Linkable Format，可执行与可链接格式）文件的内容。ELF 是 Linux 和其他类 Unix 系统上可执行文件、共享库和目标文件的标准二进制格式。通过本实验，你将探索 readelf 的基本用法，理解其目的和功能，并学习如何使用该命令分析 ELF 文件的头部和节区。从本实验中获得的知识可以用于调试、逆向工程以及理解二进制文件的结构等任务。

Linux 命令速查表

Skills Graph

理解 readelf 命令的目的和功能

在这一步中，你将学习 Linux 中 readelf 命令的目的和功能。readelf 是一个强大的工具，用于分析 ELF（Executable and Linkable Format，可执行与可链接格式）文件的内容。ELF 是 Linux 和其他类 Unix 系统上可执行文件、共享库和目标文件的标准二进制格式。

readelf 命令提供了关于 ELF 文件的详细信息，包括其头部（header）、节区（sections）、段（segments）和符号（symbols）。这些信息对于调试、逆向工程以及理解二进制文件的结构等任务非常有用。

让我们从探索 readelf 命令的基本用法开始：

readelf -h /bin/ls

示例输出：

ELF Header:
  Magic:   7f 45 4c 46 02 01 01 00 00 00 00 00 00 00 00 00
  Class:                             ELF64
  Data:                              2's complement, little endian
  Version:                           1 (current)
  OS/ABI:                            UNIX - System V
  ABI Version:                       0
  Type:                              EXEC (Executable file)
  Machine:                           Advanced Micro Devices X86-64
  Version:                           0x1
  Entry point address:               0x4047e0
  Start of program headers:          64 (bytes into file)
  Start of section headers:          6472 (bytes into file)
  Flags:                             0x0
  Size of this header:               64 (bytes)
  Size of program headers:           56 (bytes)
  Number of program headers:         9
  Size of section headers:           64 (bytes)
  Number of section headers:         28
  Section header string table index: 27

输出显示了 ELF 文件头部的各个字段，提供了关于文件类型、架构、入口点和其他元数据的信息。这些信息对于理解二进制文件的结构和用途非常有用。

在下一步中，你将更详细地探索 readelf 命令的基本用法。

探索 readelf 命令的基本用法

在这一步中，你将探索 readelf 命令的基本用法，并学习如何从 ELF 文件中提取各种类型的信息。

首先，让我们查看 readelf 命令提供的基本选项：

readelf --help

这将显示所有可用选项及其描述的列表。一些最常用的选项包括：

• -h：显示 ELF 文件的头部信息
• -S：显示 ELF 文件中的节区
• -l：显示程序头部
• -s：显示符号表
• -d：显示动态节区
• -r：显示重定位条目

现在，让我们在示例 ELF 文件（例如 /bin/ls 二进制文件）上尝试其中一些选项：

readelf -S /bin/ls

示例输出：

There are 28 section headers, starting at offset 0x1998:

Section Headers:
  [Nr] Name              Type             Address           Offset
       Size              EntSize          Flags  Link  Info  Align
  [ 0]                   NULL             0000000000000000  00000000
       0000000000000000  0000000000000000           0     0     0
  [ 1] .interp           PROGBITS         0000000000400238  00000238
       000000000000001c  0000000000000000   A       0     0     1
  [ 2] .note.gnu.build-i NOTE             0000000000400254  00000254
       0000000000000024  0000000000000000   A       0     0     4
  ...

此命令显示了 /bin/ls ELF 文件的节区头部，提供了关于各个节区的信息，例如它们的名称、类型、地址和大小。

你还可以使用 readelf 命令显示其他信息，例如程序头部、动态节区和符号表。尝试以下命令：

readelf -l /bin/ls
readelf -d /bin/ls
readelf -s /bin/ls

探索这些命令的输出，以了解如何使用 readelf 命令从 ELF 文件中提取不同类型的信息。

使用 readelf 分析 ELF 文件的头部和节区

在这一步中，你将学习如何使用 readelf 命令更详细地分析 ELF 文件的头部和节区。

让我们从检查 /bin/ls 二进制文件的 ELF 文件头部开始：

readelf -h /bin/ls

示例输出：

ELF Header:
  Magic:   7f 45 4c 46 02 01 01 00 00 00 00 00 00 00 00 00
  Class:                             ELF64
  Data:                              2's complement, little endian
  Version:                           1 (current)
  OS/ABI:                            UNIX - System V
  ABI Version:                       0
  Type:                              EXEC (Executable file)
  Machine:                           Advanced Micro Devices X86-64
  Version:                           0x1
  Entry point address:               0x4047e0
  Start of program headers:          64 (bytes into file)
  Start of section headers:          6472 (bytes into file)
  Flags:                             0x0
  Size of this header:               64 (bytes)
  Size of program headers:           56 (bytes)
  Number of program headers:         9
  Size of section headers:           64 (bytes)
  Number of section headers:         28
  Section header string table index: 27

此输出提供了关于 ELF 文件头部的详细信息，包括文件类别、数据编码、类型、机器架构以及各种偏移量和大小。

接下来，让我们探索 ELF 文件的节区：

readelf -S /bin/ls

示例输出：

There are 28 section headers, starting at offset 0x1998:

Section Headers:
  [Nr] Name              Type             Address           Offset
       Size              EntSize          Flags  Link  Info  Align
  [ 0]                   NULL             0000000000000000  00000000
       0000000000000000  0000000000000000           0     0     0
  [ 1] .interp           PROGBITS         0000000000400238  00000238
       000000000000001c  0000000000000000   A       0     0     1
  [ 2] .note.gnu.build-i NOTE             0000000000400254  00000254
       0000000000000024  0000000000000000   A       0     0     4
  ...

此命令显示了节区头部，提供了关于 ELF 文件中各个节区的信息，例如它们的名称、类型、地址、大小和其他属性。

你可以通过使用 readelf -e 命令进一步探索节区，该命令显示完整的 ELF 文件信息，包括程序头部、节区头部和符号表：

readelf -e /bin/ls

此命令将提供 ELF 文件的全面视图，使你能够详细了解其结构和内容。

总结

在本实验中，你学习了 Linux 中 readelf 命令的目的和功能。readelf 是一个强大的工具，用于分析 ELF（Executable and Linkable Format，可执行与可链接格式）文件的内容。ELF 是 Linux 和其他类 Unix 系统上可执行文件、共享库和目标文件的标准二进制格式。你探索了 readelf 命令的基本用法，并学习了如何使用它分析 ELF 文件的头部和节区。这些信息对于调试、逆向工程以及理解二进制文件的结构等任务非常有用。

Linux 命令速查表