如何在Linux中使用十六进制编辑器创建一个可执行的ELF文件？

Question

我的架构是x86。我能做的一个非常简单的程序是什么？一个你好的世界？无限循环？类似于这个问题，但在Linux中。

Answer 1

null

null

null

man elf

section .data
    hello_world db "Hello world!", 10
    hello_world_len  equ $ - hello_world
section .text
    global _start
    _start:
        mov rax, 1
        mov rdi, 1
        mov rsi, hello_world
        mov rdx, hello_world_len
        syscall
        mov rax, 60
        mov rdi, 0
        syscall

nasm -w+all -f elf64 -o 'hello_world.o' 'hello_world.asm'
ld -o 'hello_world.out' 'hello_world.o'

null

hd hello_world.o
hd hello_world.out

readelf -h hello_world.o
readelf -h hello_world.out

00000000  7f 45 4c 46 02 01 01 00  00 00 00 00 00 00 00 00  |.ELF............|
00000010  01 00 3e 00 01 00 00 00  00 00 00 00 00 00 00 00  |..>.............|
00000020  00 00 00 00 00 00 00 00  40 00 00 00 00 00 00 00  |........@.......|
00000030  00 00 00 00 40 00 00 00  00 00 40 00 07 00 03 00  |....@.....@.....|

00000000  7f 45 4c 46 02 01 01 00  00 00 00 00 00 00 00 00  |.ELF............|
00000010  02 00 3e 00 01 00 00 00  b0 00 40 00 00 00 00 00  |..>.......@.....|
00000020  40 00 00 00 00 00 00 00  10 01 00 00 00 00 00 00  |@...............|
00000030  00 00 00 00 40 00 38 00  02 00 40 00 06 00 03 00  |....@.8...@.....|

所表示的结构：

typedef struct {
    unsigned char   e_ident[EI_NIDENT];
    Elf64_Half      e_type;
    Elf64_Half      e_machine;
    Elf64_Word      e_version;
    Elf64_Addr      e_entry;
    Elf64_Off       e_phoff;
    Elf64_Off       e_shoff;
    Elf64_Word      e_flags;
    Elf64_Half      e_ehsize;
    Elf64_Half      e_phentsize;
    Elf64_Half      e_phnum;
    Elf64_Half      e_shentsize;
    Elf64_Half      e_shnum;
    Elf64_Half      e_shstrndx;
} Elf64_Ehdr;

手动细分：

>

0 0:ei_mag=7f 45 4c 46=0x7f'e','l','f':ELF magic number

07:ei_osabi（仅在2003年更新中）=00=elfosabi_none:没有扩展。

08:ei_pad=8x00:保留字节。必须设置为0。

1 0:e_type=0100=1（big endian)=et_rel:可重定位格式

1 4:E_version=01000000:必须为1

1 8:e_entry=8x00:执行地址入口点，如果不适用，则为0，因为没有入口点。

在可执行文件上，它是b000400000000000。TODO：我们还能把它调成什么？内核似乎把IP直接放在那个值上，它不是硬编码的。

3 0:e_flags=00000000TODO。拱门特定。

3 4:e_ehsize=4000:此elf头的大小。为什么要做这个领域？怎么会有变化呢？

3 6:e_phentsize=0000:每个程序头的大小，如果不存在则为0。

可执行文件上的0200：有2个条目。

3 A:e_shentsize和e_shnum=40 00 07 00:节头大小和条目数

3 e:e_shstrndx(节头字符串索引)=0300:.shstrtab节的索引。

ELF头的e_shoff给出起始位置，这里是0x40。

ELF头中的e_shentsize和e_shnum表示我们有7个条目，每个0x40字节长。

因此，该表接受从0x40到0x40+7+0x40-1=0x1ff的字节。

There are 7 section headers, starting at offset 0x40:

Section Headers:
  [Nr] Name              Type             Address           Offset
       Size              EntSize          Flags  Link  Info  Align
  [ 0]                   NULL             0000000000000000  00000000
       0000000000000000  0000000000000000           0     0     0
  [ 1] .data             PROGBITS         0000000000000000  00000200
       000000000000000d  0000000000000000  WA       0     0     4
  [ 2] .text             PROGBITS         0000000000000000  00000210
       0000000000000027  0000000000000000  AX       0     0     16
  [ 3] .shstrtab         STRTAB           0000000000000000  00000240
       0000000000000032  0000000000000000           0     0     1
  [ 4] .symtab           SYMTAB           0000000000000000  00000280
       00000000000000a8  0000000000000018           5     6     4
  [ 5] .strtab           STRTAB           0000000000000000  00000330
       0000000000000034  0000000000000000           0     0     1
  [ 6] .rela.text        RELA             0000000000000000  00000370
       0000000000000018  0000000000000018           4     2     4
Key to Flags:
  W (write), A (alloc), X (execute), M (merge), S (strings), l (large)
  I (info), L (link order), G (group), T (TLS), E (exclude), x (unknown)
  O (extra OS processing required) o (OS specific), p (processor specific)

typedef struct {
    Elf64_Word  sh_name;
    Elf64_Word  sh_type;
    Elf64_Xword sh_flags;
    Elf64_Addr  sh_addr;
    Elf64_Off   sh_offset;
    Elf64_Xword sh_size;
    Elf64_Word  sh_link;
    Elf64_Word  sh_info;
    Elf64_Xword sh_addralign;
    Elf64_Xword sh_entsize;
} Elf64_Shdr;

包含在字节0x40到0x7F中。

第一部分总是很神奇:http://www.sco.com/developers/gabi/2003-12-17/ch4.sheader.html说：

如果节数大于或等于SHN_LORESERVE(0xFF00)，则e_shnum的值为SHN_UNDEF(0)，节头表条目的实际数量包含在索引为0的节头的sh_size字段中（否则，初始条目的sh_size成员包含0）。

00000080  01 00 00 00 01 00 00 00  03 00 00 00 00 00 00 00  |................|
00000090  00 00 00 00 00 00 00 00  00 02 00 00 00 00 00 00  |................|
000000a0  0d 00 00 00 00 00 00 00  00 00 00 00 00 00 00 00  |................|
000000b0  04 00 00 00 00 00 00 00  00 00 00 00 00 00 00 00  |................|

>

800:sh_name=01000000:.shstrtab字符串表中的索引1

这里，1表示该节的名称从该节的第一个字符开始，到第一个NUL字符结束，组成字符串.data。

.data是节名之一，它具有预定义的含义http://www.sco.com/developers/gabi/2003-12-17/ch4.strtab.html

804:sh_type=01 000000:sht_progbits:区段内容不是由ELF指定的，而是由程序如何解释它指定的。正常，因为.data节。

808:sh_flags=037x00:shf_alloc和shf_execinstr:http://www.sco.com/developers/gabi/2003-12-17/ch4.sheader.html#sh_flags，根据.data部分的要求

90 0:sh_addr=8x00:在执行期间该节将放置在哪个虚拟地址中，如果未放置则0

90 8:sh_offset=00 02 0000000000000000=0x200:从程序开始到本节中第一个字节的字节数

a0 0:sh_size=0d 000000000000000000

如果从sh_offset200开始取0xD字节，我们会看到：

00000200  48 65 6c 6c 6f 20 77 6f  72 6c 64 21 0a 00        |Hello world!..  |

readelf -x .data hello_world.o

Hex dump of section '.data':
  0x00000000 48656c6c 6f20776f 726c6421 0a       Hello world!.

NASM为该节设置了合适的属性，因为它神奇地处理.data:http://www.NASM.us/doc/nasmdoc7.html#section-7.9.2

还要注意，这是一个错误的节选择：一个好的C编译器会将字符串放在.rodata中，因为它是只读的，并且允许进一步的OS优化。

A08:sh_link和sh_info=8x0:不适用于此节类型。http://www.sco.com/developers/gabi/2003-12-17/ch4.sheader.html#special_sections

现在我们已经手动完成了一个部分，让我们毕业并使用其他部分的readelf-s。

  [Nr] Name              Type             Address           Offset
       Size              EntSize          Flags  Link  Info  Align
  [ 2] .text             PROGBITS         0000000000000000  00000210
       0000000000000027  0000000000000000  AX       0     0     16

.text是可执行的，但不可写：如果我们尝试向它写，Linux segfaults。让我们看看我们是否真的有一些代码：

objdump -d hello_world.o

给予：

hello_world.o:     file format elf64-x86-64


Disassembly of section .text:

0000000000000000 <_start>:
   0:       b8 01 00 00 00          mov    $0x1,%eax
   5:       bf 01 00 00 00          mov    $0x1,%edi
   a:       48 be 00 00 00 00 00    movabs $0x0,%rsi
  11:       00 00 00
  14:       ba 0d 00 00 00          mov    $0xd,%edx
  19:       0f 05                   syscall
  1b:       b8 3c 00 00 00          mov    $0x3c,%eax
  20:       bf 00 00 00 00          mov    $0x0,%edi
  25:       0f 05                   syscall

movabs $0x0,%rsi

4000ba: 48 be d8 00 60 00 00    movabs $0x6000d8,%rsi

具有sh_type==sht_strtab的节称为字符串表。

它们保存一个空分隔的字符串数组。

当要使用字符串名称时，这些节由其他节使用。使用部分说：

null

Data: \0 a b c \0 d e f \0
Index: 0 1 2 3  4 5 6 7  8

null

节类型:sh_type==sht_strtab。

通用名称：节头字符串表。

保留节名.shstrtab。标准说：

readelf -x .shstrtab hello_world.o

Hex dump of section '.shstrtab':
  0x00000000 002e6461 7461002e 74657874 002e7368 ..data..text..sh
  0x00000010 73747274 6162002e 73796d74 6162002e strtab..symtab..
  0x00000020 73747274 6162002e 72656c61 2e746578 strtab..rela.tex
  0x00000030 7400                                t.

本节中的数据有固定格式:http://www.sco.com/developers/gabi/2003-12-17/ch4.strtab.html

如果我们查看其他部分的名称，我们会看到它们都包含数字，例如.text部分是number7。

然后，当找到第一个NUL字符时，每个字符串结束，例如，字符12是\0紧随.text\0之后的\0。

首先，我们注意到：

• sh_link=5
• sh_info=6

对于sht_symtab节，这些数字表示：

null

nm hello_world.o

0000000000000000 T _start
0000000000000000 d hello_world
000000000000000d a hello_world_len

readelf -s hello_world.o

它给出：

Symbol table '.symtab' contains 7 entries:
   Num:    Value          Size Type    Bind   Vis      Ndx Name
     0: 0000000000000000     0 NOTYPE  LOCAL  DEFAULT  UND
     1: 0000000000000000     0 FILE    LOCAL  DEFAULT  ABS hello_world.asm
     2: 0000000000000000     0 SECTION LOCAL  DEFAULT    1
     3: 0000000000000000     0 SECTION LOCAL  DEFAULT    2
     4: 0000000000000000     0 NOTYPE  LOCAL  DEFAULT    1 hello_world
     5: 000000000000000d     0 NOTYPE  LOCAL  DEFAULT  ABS hello_world_len
     6: 0000000000000000     0 NOTYPE  GLOBAL DEFAULT    2 _start

该表的二进制格式见http://www.sco.com/developers/gabi/2003-12-17/ch4.symtab.html

数据是：

readelf -x .symtab hello_world.o

Hex dump of section '.symtab':
  0x00000000 00000000 00000000 00000000 00000000 ................
  0x00000010 00000000 00000000 01000000 0400f1ff ................
  0x00000020 00000000 00000000 00000000 00000000 ................
  0x00000030 00000000 03000100 00000000 00000000 ................
  0x00000040 00000000 00000000 00000000 03000200 ................
  0x00000050 00000000 00000000 00000000 00000000 ................
  0x00000060 11000000 00000100 00000000 00000000 ................
  0x00000070 00000000 00000000 1d000000 0000f1ff ................
  0x00000080 0d000000 00000000 00000000 00000000 ................
  0x00000090 2d000000 10000200 00000000 00000000 -...............
  0x000000a0 00000000 00000000                   ........

typedef struct {
    Elf64_Word  st_name;
    unsigned char   st_info;
    unsigned char   st_other;
    Elf64_Half  st_shndx;
    Elf64_Addr  st_value;
    Elf64_Xword st_size;
} Elf64_Sym;

链接器可以使用这段信息文件来决定哪些区段区段。

10 12:st_info=04

位0-3=elf64_r_type=Type=4=stt_file:该条目的主要用途是使用st_name指示生成此对象文件的文件名。

20 8:st_size=8x00:未分配大小

现在，从Readel开始，我们将快速解释其他内容。

有两个这样的条目，一个指向.data，另一个指向.text（节索引1和2)。

Num:    Value          Size Type    Bind   Vis      Ndx Name
  2: 0000000000000000     0 SECTION LOCAL  DEFAULT    1
  3: 0000000000000000     0 SECTION LOCAL  DEFAULT    2

Num:    Value          Size Type    Bind   Vis      Ndx Name
  4: 0000000000000000     0 NOTYPE  LOCAL  DEFAULT    1 hello_world
  5: 000000000000000d     0 NOTYPE  LOCAL  DEFAULT  ABS hello_world_len
  6: 0000000000000000     0 NOTYPE  GLOBAL DEFAULT    2 _start

_start标记为全局可见性，因为我们编写了：

global _start

在纳斯姆。这是必要的，因为它必须被视为切入点。与C语言不同，默认情况下NASM标签是本地的。

hello_world_len指向特殊的st_shndx==SHN_ABS==0xf1ff。

如果我们在任何地方使用hello_world_len的地址，汇编程序将无法将其标记为shn_abs，链接器稍后将对其进行额外的重新定位。

默认情况下，NASM还在可执行文件上放置.symtab。

这仅用于调试。没有符号，我们就完全是盲目的，必须对一切进行逆向工程。

它由.symtab节的sh_link==5指向。

readelf -x .strtab hello_world.o

给予：

Hex dump of section '.strtab':
  0x00000000 0068656c 6c6f5f77 6f726c64 2e61736d .hello_world.asm
  0x00000010 0068656c 6c6f5f77 6f726c64 0068656c .hello_world.hel
  0x00000020 6c6f5f77 6f726c64 5f6c656e 005f7374 lo_world_len._st
  0x00000030 61727400                            art.

这意味着全局变量不能包含NUL字符是ELF级别的限制。

   a:       48 be 00 00 00 00 00    movabs $0x0,%rsi
  11:       00 00 00

4000ba: 48 be d8 00 60 00 00    movabs $0x6000d8,%rsi
4000c1: 00 00 00

它由.symtab节的sh_info=6指向。

readelf-r hello_world.o给出：

Relocation section '.rela.text' at offset 0x3b0 contains 1 entries:
  Offset          Info           Type           Sym. Value    Sym. Name + Addend
00000000000c  000200000001 R_X86_64_64       0000000000000000 .data + 0

该节不存在于可执行文件中。

00000370  0c 00 00 00 00 00 00 00  01 00 00 00 02 00 00 00  |................|
00000380  00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 00  |................|

typedef struct {
    Elf64_Addr  r_offset;
    Elf64_Xword r_info;
    Elf64_Sxword    r_addend;
} Elf64_Rela;

370 8:r_info=0x200000001。包含2个字段：

• elf64_r_type=0x1:含义取决于确切的体系结构。
• ELF64_R_SYM=0x2:地址指向的节的索引，因此.data位于索引2。

AMD64 ABI指出，类型1称为R_x86_64_64，它表示操作S+A，其中：

null

此重定位操作总共作用于8个字节。

380:r_addend=0

因此，在我们的示例中，我们得出结论，新地址将是:s+a=.data+0，因此是数据部分的第一个内容。

在Binutils中，这归结为解析链接器脚本和处理一系列默认值。

您可以获得与ld--verbose一起使用的链接器脚本，并使用ld-t设置一个自定义链接器脚本。

对文本部分进行重新定位。这取决于将多个节放入内存的方式。

Elf file type is EXEC (Executable file)
Entry point 0x4000b0
There are 2 program headers, starting at offset 64

Program Headers:
  Type           Offset             VirtAddr           PhysAddr
                 FileSiz            MemSiz              Flags  Align
  LOAD           0x0000000000000000 0x0000000000400000 0x0000000000400000
                 0x00000000000000d7 0x00000000000000d7  R E    200000
  LOAD           0x00000000000000d8 0x00000000006000d8 0x00000000006000d8
                 0x000000000000000d 0x000000000000000d  RW     200000

 Section to Segment mapping:
  Segment Sections...
   00     .text
   01     .data

00000040  01 00 00 00 05 00 00 00  00 00 00 00 00 00 00 00  |................|
00000050  00 00 40 00 00 00 00 00  00 00 40 00 00 00 00 00  |..@.......@.....|
00000060  d7 00 00 00 00 00 00 00  d7 00 00 00 00 00 00 00  |................|
00000070  00 00 20 00 00 00 00 00                           |.. .....        |

00000070                           01 00 00 00 06 00 00 00  |        ........|
00000080  d8 00 00 00 00 00 00 00  d8 00 60 00 00 00 00 00  |..........`.....|
00000090  d8 00 60 00 00 00 00 00  0d 00 00 00 00 00 00 00  |..`.............|
000000a0  0d 00 00 00 00 00 00 00  00 00 20 00 00 00 00 00  |.......... .....|

typedef struct {
    Elf64_Word  p_type;
    Elf64_Word  p_flags;
    Elf64_Off   p_offset;
    Elf64_Addr  p_vaddr;
    Elf64_Addr  p_paddr;
    Elf64_Xword p_filesz;
    Elf64_Xword p_memsz;
    Elf64_Xword p_align;
} Elf64_Phdr;

第一项的细分：

• 40 0:p_type=01 000000=pt_load:TODO。我想这意味着它将被实际加载到内存中。其他类型不一定是。
• 404:p_flags=05000000=执行和读取权限，没有写权限
• 408:P_offset=8x00TODO：这是什么？看起来像是从段开始的偏移量。但这意味着一些片段是交织在一起的？可以使用以下方法来玩：gcc-wl,-ttext-segment=0x400030 hello_world.c
• 500:P_vaddr=0000400000000000:将此段加载到
的初始虚拟内存地址
• 508:p_paddr=0000400000000000:加载到内存中的初始物理地址。只有在程序可以设置物理地址的系统中才重要。否则，就像在系统V中一样，可以是任何东西。NASM似乎只是复制p_vaddrr
• 60 0:p_filesz=d7 00000000000000000000:TODO vsp_memsz
• 608:p_memsz=d7 000000000000000000:todo
• 70 0:P_align=00 00 20 00 00 00 00 00:0或1表示不需要对齐，这是什么意思？否则与其他字段冗余

第二个是类比的。

 Section to Segment mapping:

null