elf 格式分析

http://blog.chinaunix.net/u2/89957/showart_2199517.html

-------------------------------------------
本文系本站原创,欢迎转载!
转载请注明出处:http://sjj0412.cublog.cn
------------------------------------------

   前几天一个师弟问了一个动态链接库变量的问题，突然答不上来，才发现原来知道的东西都忘了，于是找到以前看的东西，大概扫了一下，了解了，觉得有必要对elf文件格式记录下来，以加深了解。

估计用过linux的人都知道elf文件格式吧，其实在嵌入式领 域也是用到elf文件格式，比如ads软件 编译生成的就是axf文件格式的文件，这个其实是elf文 件格式的扩展， 用gcc在编译时包含dwarf-2格 式的调试信息,就可被ads识别，其实像arm公司的最新软件，realview等可直接支持elf文件的调试。

      下 面就来讲下elf文件格式：

为了更好的完整的表述elf， 我以一个例子来说：

my.c是libmy.so的 源文件：

vi my.c

int i=1;

void show() {

    printf("share lib test:%d\n",i);

}

gcc -fPIC -shared -o libmy.so my.c

 

test.c是使用这个共享库的测试文件：

vi test.c

extern int i;

int main(){

    i++;

    show();

    printf("%d",i);

}

gcc -o test test.c ./libmy.so

 

讲到elf文 件格式，不得不提到三个概念。

elf文件头，程序头表，节区头部表，

1.elf文件头。

      这个顾明思议就是在文件的 开始位置。

      文件的最开始几个字节给出 如何解释文件的提示信息。

typedef struct{

unsigned char e_ident[EI_NIDENT]; //magic，就是elf文 件标识，是elf等

Elf32_Half e_type;   //用来标示是可重定位文件（1），可执行文件（2）， 还是共享文件（3）

Elf32_Half e_machine; //那种cpu的文件,SPARC(2),i386(3)

Elf32_Word e_version;  //版本EV_NONE 0 非法版本 V_CURRENT 1 当前版本

Elf32_Addr e_entry;  //程序入口

Elf32_Off e_phoff;  //程序头表在文件中的偏移量

Elf32_Off e_shoff; //节区头部表在文件中的偏移量

Elf32_Word e_flags; //保存与文件相关的，特定于处理器的标志

Elf32_Half e_ehsize; //ELF 头部的大小（以字节计算）

Elf32_Half e_phentsize;//程序头部表格的表项大小（按字节计算

Elf32_Half e_phnum;//程序头部表格的表项的数量

Elf32_Half e_shentsize;//节区头部表格的表项大小（按字节计算）。

Elf32_Half e_shnum;//节区头部表格的表项数目。可以为 0。

Elf32_Half e_shstrndx;//节区头部表格中与节区名称字符串表相关的表项的索引。

}Elf32_Ehdr;

从上可见elf文 件头是灵魂，有它才可以找到真正描述文件的 程序头表， 节区头部表的数据

上面的test的 文件头如下：

jivin@jivin-desktop:~/test/dym_so$ readelf test -h

ELF Header:

  Magic:   7f 45 4c 46 01 01 01 00 00 00 00 00 00 00 00 00

  Class:                             ELF32

  Data:                              2's complement, little endian

  Version:                           1 (current)

  OS/ABI:                            UNIX - System V

  ABI Version:                       0

  Type:                              EXEC (Executable file)

  Machine:                           Intel 80386

  Version:                           0x1

  Entry point address:               0x8048440  //入口是__start

  Start of program headers:          52 (bytes into file) //elf头部大小为52btye

                                              所以program headers在elf header下

  Start of section headers:          6004 (bytes into file)

  Flags:                             0x0

  Size of this header:               52 (bytes)//elf头部大小为52btye

  Size of program headers:           32 (bytes)

  Number of program headers:         8

  Size of section headers:           40 (bytes)

  Number of section headers:         36

  Section header string table index: 33

 

2.节区头部表。

 节区头部表是给链接器用的，在编译的时候，和重定位的时候用的。

(1).目标文件中的每个节区都有对应的节区头部描述它，反过来，有节区头部不 意味着有节区。

(2).每个节区占用文件中一个连续字节区域（这个区域可能长度为 0）。

(3).文件中的节区不能重叠，不允许一个字节存在于两个节区中的情况发生。

(4).目标文件中可能包含非活动空间（INACTIVE SPACE）。这些区域不属于任何头部和节区，其内容未指定。

 

所谓表就是一个数组，每个元素是一个节区描述结构。

typedef struct{

Elf32_Word sh_name;  //节区的名字,比 如.text,.data,.symbol,.dynmatic等

Elf32_Word sh_type;  //节区类型，SHT_SYMTAB，SHT_PROGBITS，SHT_STRTAB，SHT_RELA

Elf32_Word sh_flags;//一个节区中包含的内容是否可以修改、是否可以执行

Elf32_Addr sh_addr;  //如果节区将在进程的内存映像中，此成员给出节区的第一个字节应处的位置这个一般在可执行文件中才不为0，因为可重定位文件（.o）没法确定地址.

Elf32_Off sh_offset; //节区在文件中的偏移

Elf32_Word sh_size; //节区大小

Elf32_Word sh_link;//

Elf32_Word sh_info;//

Elf32_Word sh_addralign;//对齐

Elf32_Word sh_entsize;//节区每个元素数据结构的大小，比如一个.symbol的 大小

}Elf32_Shdr;

 

jivin@jivin-desktop:~/test/dym_so$ readelf test -S

Section Headers:

(这个处于6004偏移处)

  [Nr] Name              Type            Addr     Off    Size   ES Flg Lk Inf Al

  [ 0]                   NULL            00000000 000000 000000 00      0   0  0

//要链接如内存映像的节区开始处

  [ 1] .interp           PROGBITS        08048134 000134 000013 00   A  0   0  1

  [ 2] .note.ABI-tag     NOTE            08048148 000148 000020 00   A  0   0  4

  [ 3] .note.gnu.build-i NOTE            08048168 000168 000024 00   A  0   0  4

  [ 4] .hash             HASH            0804818c 00018c 000048 04   A  6   0  4

  [ 5] .gnu.hash         GNU_HASH        080481d4 0001d4 000040 04   A  6   0  4

//紫色的这些节区和动态链接库链接相关的节区

  [ 6] .dynsym           DYNSYM          08048214 000214 0000d0 10   A  7   1  4

  [ 7] .dynstr           STRTAB          080482e4 0002e4 000094 00   A  0   0  1

  [ 8] .gnu.version      VERSYM          08048378 000378 00001a 02   A  6   0  2

  [ 9] .gnu.version_r    VERNEED         08048394 000394 000020 00   A  7   1  4

  [10] .rel.dyn          REL             080483b4 0003b4 000010 08   A  6   0  4

  [11] .rel.plt          REL             080483c4 0003c4 000020 08   A  6  13  4

  [12] .init             PROGBITS        080483e4 0003e4 000030 00  AX  0   0  4

  [13] .plt              PROGBITS        08048414 000414 000050 04  AX  0   0  4

  [14] .text             PROGBITS        08048470 000470 00018c 00  AX  0   0 16

  [15] .fini             PROGBITS        080485fc 0005fc 00001c 00  AX  0   0  4

  [16] .rodata           PROGBITS        08048618 000618 00000b 00   A  0   0  4

  [17] .eh_frame         PROGBITS        08048624 000624 000004 00   A  0   0  4

  [18] .ctors            PROGBITS        08049f04 000f04 000008 00  WA  0   0  4

  [19] .dtors            PROGBITS        08049f0c 000f0c 000008 00  WA  0   0  4

[20] .jcr              PROGBITS        08049f14 000f14 000004 00  WA  0   0  4

[21] .dynamic          DYNAMIC         08049f18 000f18 0000d8 08  WA  7   0  4

[22] .got              PROGBITS        08049ff0 000ff0 000004 04  WA  0   0  4

  [23] .got.plt          PROGBITS        08049ff4 000ff4 00001c 04  WA  0   0  4

  [24] .data             PROGBITS        0804a010 001010 000008 00  WA  0   0  4

  [25] .bss              NOBITS          0804a018 001018 00000c 00  WA  0   0  4

  //要链接如内存映像的节区结束处

  [26] .comment          PROGBITS        00000000 001018 000046 01  MS  0   0  1

  [27] .debug_aranges    PROGBITS        00000000 001060 000020 00      0   0  8

  [28] .debug_pubnames   PROGBITS        00000000 001080 000025 00      0   0  1

  [29] .debug_info       PROGBITS        00000000 0010a5 0000ef 00      0   0  1

  [30] .debug_abbrev     PROGBITS        00000000 001194 00005f 00      0   0  1

  [31] .debug_line       PROGBITS        00000000 0011f3 000082 00      0   0  1

  [32] .debug_str        PROGBITS        00000000 001275 000092 01  MS  0   0  1

  [33] .shstrtab         STRTAB          00000000 001307 00013e 00      0   0  1

  [34] .symtab           SYMTAB          00000000 0019e8 0004a0 10     35  52  4

  [35] .strtab           STRTAB          00000000 001e88 00020a 00      0   0  1

  

下面讲下特殊节区：

1..symtab,.dynsym；（符号表节区）

这个节区也是一个数组，每个元素描述一个符号：

 

其结构如下：

typedef struct {

Elf32_Word st_name; //符号名字，比如变量i,b

Elf32_Addr st_value;//符号的取值。依赖于具体的上下文，它可能是一个绝对值、一个地址等等

Elf32_Word st_size;//这个符号的对应的数据的大小（int,long等）， 如没有大小此成员为 0

unsigned char st_info;//此成员给出符号的类型和绑定属性。下面给出若干取值和含义的绑定关系。

unsigned char st_other;//预留的，没有使用

Elf32_Half st_shndx;每个符号表项都以和其他节区间的关系的方式给出定义。此成员给出相关的节区                头部表索引。某些索引具有特殊 含义。

} Elf32_sym;

 

st_info这个内容比较丰富：

#define ELF32_ST_BIND(i) ((i)>>4)//高四位用于绑定信息

#define ELF32_ST_TYPE(i) ((i)&0xf) //第四位用于符号类型

#define ELF32_ST_INFO(b, t) (((b)<<4) + ((t)&0xf))

 

绑定信息主要是局部变量，全局变量等描述:

STB_LOCAL 0

局部符号在包含该符号定义的目标文件以外不可见。相同名称的局部符号 可以存在于多个文件中，互不影响。

STB_GLOBAL 1

全局符号对所有将组合的目标文件都是可见的。一个文件中对某个全局符 号的定义将满足另一个文件对相同全局符号的未定义引用。

STB_WEAK 2 弱符号与全局符号类似，不过他们的定义优先级比较低。

STB_LOPROC 13

STB_HIPROC 15  处于13-15这个范围的取值是保留给处理器 专用语义的。

 

符号类型主要是说是变量，还是函数，还是其他的东西：

STT_OBJECT  1

符号与某个数据对象相关，比如一个变量、数组等等

STT_FUNC   2

符号与某个函数或者其他可执行代码相关

STT_SECTION 3

符号与某个节区相关。这种类型的符号表项主要用于重定位，通常具有 STB_LOCAL 绑定。

STT_FILE 4

传统上，符号的名称给出了与目标文件相关的源文件的名称。文件符号具有 STB_LOCAL 绑定，其节区索引是

jivin@jivin-desktop:~/test/dym_so$ readelf test -s

Symbol table '.dynsym' contains 13 entries:

  Num:    Value  Size Type    Bind   Vis      Ndx Name

     0: 00000000     0 NOTYPE  LOCAL  DEFAULT  UND

     5: 00000000     0 FUNC    GLOBAL DEFAULT  UND show

     6: 0804a018     4 OBJECT  GLOBAL DEFAULT   25 i

    10: 0804a018     0 NOTYPE  GLOBAL DEFAULT  ABS __bss_start

    11: 080483e4     0 FUNC    GLOBAL DEFAULT   12 _init

    12: 080485fc     0 FUNC    GLOBAL DEFAULT   15 _fini

 

 

Symbol table '.symtab' contains 74 entries:

   Num:    Value  Size Type    Bind   Vis      Ndx Name

     0: 00000000     0 NOTYPE  LOCAL  DEFAULT  UND

    33: 00000000     0 FILE    LOCAL  DEFAULT  ABS init.c  

    62: 0804a018     4 OBJECT  GLOBAL DEFAULT   25 i

    63: 0804a014     0 OBJECT  GLOBAL HIDDEN   24 __dso_handle

     67: 0804a018     0 NOTYPE  GLOBAL DEFAULT  ABS __bss_start

    68: 00000000     0 FUNC    GLOBAL DEFAULT  UND show

    69: 0804a024     0 NOTYPE  GLOBAL DEFAULT  ABS _end

    72: 08048524    50 FUNC    GLOBAL DEFAULT   14 main

    73: 080483e4     0 FUNC    GLOBAL DEFAULT   12 _init

2..strtab节区：

     这个节区包含字符串，不在是一个结构的数组

其组成形式如下：

      sjj0412\0 rtlab\0

那么如果我们使用sjj0412这 个字符串，则是使用了这个节区的0索引的字符串，而rtlab就 是1索引的字符串。

字符串表索引可以引用节区中任意字节。

􀂄 字符串可以出现多次