链接与装载---理解ELF文件_elf segment section

目录

elf文件整体透视

elf核心数据结构分析

1. ELF_Header

2. Program Header

3. Section Header Table

elf实例总结

细节说明

1. elf可执行文件的执行入口地址是怎么确定的？

2. 字符串表

3. ELF Header中e_shstrndx的理解

4. 符号表

5. elf常见section的含义

6. 重定位表

参考

---

 

        网络上有很多分析elf文件的文章， 大多文章一上来就码代码， 讲解elf文件的数据结构和含义， 到最后都没看明白elf文件是个什么东东， 本文按照总-分-总的结构来阐述笔者对elf文件的理解， 先整体分析elf文件结构，通过笔者对elf文件理解后绘制的一幅文件空间布局图来整体审视elf文件， 对elf文件有个整体的认识，  再解释elf核心数据结构的含义，最后实例分析elf文件，将elf各个部分关联起来,我们将能够绘制出elf空间布局图。

既然是分析elf文件， 就需要用到elf文件， 为了节省篇幅， 这里笔者将制作elf文件的程序放在另一篇文章中：示例程序demo.c。

 

elf文件整体透视

elf文件内容划分为如下五大部分： 

1. ELF_Header: ELF头部， 每个ELF文件都存在一个ELF_Header,它的作用是描述整个文件的组织,存放了很多重要的信息用来，如: 版本信息,程序执行入口地址,偏移信息等。程序执行也必须依靠其提供的信息。
2. Program_Header_Table:程序头部表，用于告诉系统如何在内存中创建映像,是可选的一个表，文件中有段就必须有程序头部表，有程序头部表才有段。其中存放各个段的基本信息(包括地址指针，段偏移，大小等)。只需要记住一句话，Program_Header_Table存放各个Segment的基本信息，表中有多少个项，就对应多少个段。
3. Section_Header_Table:节区头部表， 类似与Program_Header_Table,但与其相对应的是节区(Section)。
4. Section: 节区，将文件分成一个个节区，每个节区都有其对应的功能，如符号表，哈希表等，以及程序执行入口地址所在的.text也是一个节区。
5. Segment: 段，就是将文件分成一段一段映射到内存中。段中通常包括一个或多个节区,而且同一个节区可能会存在于多个段中， 这里抛出一个疑问：  既然同一个节区可以位于不同的段中， 这难道不会导致同一份内容在文件中重复出现吗？

在详细说明之前，先来看一下elf文件的空间布局， 如下图所示， 这幅图是我根据示例程序demo.c编译得到的可执行elf文件绘制的(图中地址会随编译环境，代码不同而变化)：

 

是不是很简单， 看似神秘的elf文件，从头到尾也就包含了五大块：ELF_Header, Program Header table, Section，Segment， Section Header table。 这幅图也直观的解决了上文中我们提出的一个疑问， elf文件中的各个Segment在空间中是交叉嵌套存在的(之所以会交叉、嵌套，是因为一个section可能会位于多个Segment中)， 所以，是不会导致内容重复的。

---

elf文件其实是按照Section来组织的， 为什么还要划分为不同的Segment呢？另外，在很多资料中， 会将.text说成代码段，可是.text明明是Section，应该翻译为节才对，这里我们不得不说一下Segment与Section的区别：

事实上，Segment和Section提供了ELF文件的两种不同的视图，从Section角度来看ELF文件就是链接视图，从Segment角度来看就是执行视图(或装载视图），我们再谈ELF装载时，段专门指Segment， 而其他情况下， 段指的是Section。从上图中还可以看出， Segment2和Segment3包含了大部分的Section，是因为链接器会将相同属性权限的Section划分为同一个Segment中，我们看看readelf的执行结果：

# readelf -l a.out
 
Elf file type is EXEC (Executable file)
Entry point 0x8048310
There are 9 program headers, starting at offset 52
 
Program Headers:
  Type           Offset   VirtAddr   PhysAddr   FileSiz MemSiz  Flg Align
  PHDR           0x000034 0x08048034 0x08048034 0x00120 0x00120 R E 0x4
  INTERP         0x000154 0x08048154 0x08048154 0x00013 0x00013 R   0x1
      [Requesting program interpreter: /lib/ld-linux.so.2]
  LOAD           0x000000 0x08048000 0x08048000 0x00644 0x00644 R E 0x1000
  LOAD           0x000f08 0x08049f08 0x08049f08 0x00114 0x00118 RW  0x1000
  DYNAMIC        0x000f14 0x08049f14 0x08049f14 0x000e8 0x000e8 RW  0x4
  NOTE           0x000168 0x08048168 0x08048168 0x00044 0x00044 R   0x4
  GNU_EH_FRAME   0x0004fc 0x080484fc 0x080484fc 0x0003c 0x0003c R   0x4
  GNU_STACK      0x000000 0x00000000 0x00000000 0x00000 0x00000 RW  0x10
  GNU_RELRO      0x000f08 0x08049f08 0x08049f08 0x000f8 0x000f8 R   0x1
 
 Section to Segment mapping:
  Segment Sections...
   00     
   01     .interp 
   02     .interp .note.ABI-tag .note.gnu.build-id .gnu.hash .dynsym .dynstr .gnu.version .gnu.version_r .rel.dyn .rel.plt .init .plt .plt.got .text .fini .rodata .eh_frame_hdr .eh_frame 
   03     .init_array .fini_array .jcr .dynamic .got .got.plt .data .bss 
   04     .dynamic 
   05     .note.ABI-tag .note.gnu.build-id 
   06     .eh_frame_hdr 
   07     
   08     .init_array .fini_array .jcr .dynamic .got

Program Headers Table用来保存Segment的信息， 共有9条，对应9个Segment， 其中Segment2和Segment3位LOAD类型， 而在装载时，只有类型为"LOAD"的Segment才会被映射到内存中，其他Segment都是起到辅助作用 ,于是， elf文件从文件偏移0x000000处的0x644字节将会被装载到0x8048000处， 这0x644字节，包含了elf header(52字节), program_header_talbe(9*32=288字节)，以及segment2，而且这0x644字节数据是以0x1000对齐的。

 

要透彻理解elf文件， 就必须了解elf相关的一些数据结构， 涉及到的相关数据类型格式如下，这些对分析elf文件各个部分所占字节大小非常重要。

下面，我们就详细分析一下elf的核心数据结构吧。

 

elf核心数据结构分析

elf核心数据结构的定义位于：/usr/include/elf.h

1. ELF_Header

ELF_Header的结构定义：

#define EI_NIDENT 16
 
typedef struct{
 
  unsigned char  e_ident[EI_NIDENT];//16字节数据，包含魔数ELF,以及版本等信息
 
  Elf32_Half e_type;//e_type表示文件的类型，值为1时表示可重定位文件，2表示可执行我文件，3表示共享目标文件
 
  Elf32_Half e_machine;//
 
  Elf32_Word e_version;//e_machine和e_version表示文件的CPU体系结构和版本
 
  Elf32_Addr e_entry;//可执行程序入口地点
 
  Elf32_Off e_phoff;//e_phoff表示Program Header Table在文件中的偏移量,没有则为0
 
  Elf32_Off e_shoff;//e_shoff表示Section Header Table在文件中的偏移量，没有则为0
 
  Elf32_Word e_flags;//保存与文件相关的，特定于处理器的标志（好像用的不多）
 
  Elf32_Half e_ehsize;//ELF_Header Size,ELF头部的大小
 
  Elf32_Half e_phentsize;//e_phentsizze表示 Program Header Table的大小
 
  Elf32_Half e_phnum;//e_phnum表示Program Header的数量
 
  Elf32_Half e_shentsize;
 
  Elf32_Half e_shnum;//e_shentsize和e_shnum表示Section Header Table的大小和Section Header的数量
 
  Elf32_Half e_shstrndx;//e_shstrndx表示Section名称字符串表的索引,String Table Index,在节区表中有一个存储各节区名称的节区(通常是最后一个),这里表示名称表在第几个节区
 
}Elf32_Ehdr;

ELF_Header提供了elf文件的总览信息， 包括下文我们要分析的Program Header,Section Header的索引，数量和大小。

 

2. Program Header

在ELF_Header中,包含了Program Header的索引地址(e_phoff)、段数量(e_phnum)、表项大小(e_phentsize)。

Program Header 结构定义：

typedef struct{
 
    Elf32_Word p_type;//段的类型
 
    Elf32_Off p_offset;//段相对于文件的偏移地址
 
    Elf32_Addr p_vaddr;//段在内存中的虚拟地址
 
    Elf32_Addr p_paddr;//段的物理地址,在linux操作系统下，此段没有意义
 
    Elf32_Word p_filesz;//段在文件中所占的长度
 
    Elf32_Word p_memsz;//段在内存中所占的长度
 
    Elf32_Word p_flage;//段相关标志(read、write、exec)
 
    Elf32_Word p_align;//字节对其,p_vaddr 和 p_offset 对 p_align 取模后应该等于0。
 
} Elf32_phdr;

p_type的含义：定义此段的类型

后面在分析elf文件时，会看到上面的这些类型。

Program Header Table在elf文件中是紧跟着ELF Header存在的。

3. Section Header Table

    我们可以从ELF Header中得到Section Header Table的索引地址(e_shoff)、节区数量(e_shnum)、表项大小(e_shentsize),还可以由名称节区索引(e_shstrndx)得到各节区的名称。

Section Header Table 结构定义：

typedef struct{
 
    Elf32_Word sh_name;//节区名称,此处是一个32位的索引值， 对应ELF_Header->e_shstrndx[]的一个字符串( e_shstrndx相当于一个字符串数组)
 
    Elf32_Word sh_type;//节区类型
 
    Elf32_Word sh_flags;//同Program Header的p_flags,代表(read、write、exec)
 
    Elf32_Addr sh_addr;//节区索引地址
 
    Elf32_Off sh_offset;//节区相对于文件的偏移地址
 
    Elf32_Word sh_size;//节区的大小
 
    Elf32_Word sh_link;//此成员给出节区头部表索引链接
 
    Elf32_Word sh_info;//此成员给出附加信息。
 
    Elf32_Word sh_addralign;//字节对齐，sh_addr 对sh_addralign 取模,结果必须为 0。目前仅允许取值为 0 和 2的幂次数。数值 0 和 1 表示节区没有对齐约束
 
    Elf32_Word sh_entsize;//某些节区中包含固定大小的项目,如符号表。对于这类节区,此成员给出每个表项的长度字节数。 如果节区中并不包含固定长度表项的表格,此成员取值为 0。
 
}Elf32_Shdr;

sh_type:节区类型，取值如下：

 

Section Header Table在elf文件中，通常位于elf文件的末尾， 当然，它会在ELF Header中指示Section Header Table在elf文件中的偏移地址。

特别说明：

     1. 第一个节区(即节区索引为0)一般都是SHN_UNDEF,其各项值都固定为0， 通过readelf -a a.out能看出来

     2. 以“.”开头的节区名称是系统保留的。应用程序可以使用没有前缀的节区名称,以避免与系统节区冲突

     3. 保留给处理器体系结构的节区名称一般构成为:处理器体系结构名称简写 + 节区名称

     4. 处理器名称应该与 e_machine 中使用的名称相同。例如 .FOO.psect 街区是由 FOO 体系结构定义的 psect 节区

 

elf实例总结

明白了elf核心数据结构，我们就能够对实际的elf文件内容进行分析了，通过16进制打开elf文件(示例程序)。

在elf文件中，从0x154之后，存放的是31个Section的内容， 每个Section的内容是不一样的， 其中我们程序的执行入口.text就位于其中一个Section中。需要注意的是， 由于每个Section采用的字节对齐方式不同(有的是单字节对齐，有的是4字节对齐，还有的是0x1000字节对齐)，会导致elf文件中存在空白区域，会自动补零。

而Section Header table则位于文件末尾， 它的起始偏移地址则记录在ELF Header中。

 

细节说明

1. elf可执行文件的执行入口地址是怎么确定的？

    在本例中，执行入口地址是0x8048310(  0x8048000 + 0x310),  0x8048000是装载地址，是通过编译时链接脚本指定的，关于这方面的知识可以查看另一篇文章； 0x310是代码段(.text)在elf文件中的偏移地址， 代码段也就是程序执行的起始。

    .text位于第14个Section，所以.text的偏移地址

                 = sizeof(ELF_Header) + sizeof( Program_Header_table)+ sizeof(0~13 Section)

                 = 52 + 9*32 + 下图中红色方框中各个Section大小的和

                 = 0x310  ( 细心的网友会发现，以上数值加起来要小于0x310,是因为没有考虑字节对齐)

 

2. 字符串表

  elf中会存在一个或多个字符串表， 字符串表就是内容为一个个字符串的表，可以理解为字符串数组，在本例中，类型为STRTAB的Section都是字符串表。

.dynstr: 符号名称表， 为符号表提供服务

.shstrtab:节区名称表，存放所有Section的名字。

 

3. ELF Header中e_shstrndx的理解

   e_shstrndx代表了'Section名称字符串表'位于第几个节区，本例中是位于第28个节区，它的偏移地址是0x16fc,也就是从0x16fc开始，之后的0x10a字节，存放的是'Section名称字符串表'。

可以看出，这个'Section名称字符串表'中存放的是诸如：  .symtab, .strtab,.bss等之类的字符串， 这个就和Section_Header_Table->sh_name对应起来了， sh_name是一个整形， 代表着'Section名称字符串表'中第几个字符串。

4. 符号表

符号表有自己的数据结构:

typedef struct {
 
    Elf32_Word st_name;//符号名称,给出的是一个在符号名称表(.dynstr)中的索引
 
    Elf32_Addr st_value;//一般都是函数地址,或者是一个常量值
 
    Elf32_Word st_size;//从 st_value 地址开始,共占的长度大小
 
    unsigned char st_info;//用于标示此符号的属性,占一个字节(2个字),两个标示位,第一个标示位(低四位)标志作用域,第二个标示位(高四位)标示符号类型
 
    unsigned char st_other;
 
    Elf32_Half st_shndx;
 
} Elf32_sym;

 

eg: 0x12,那么他就对应着 STB_GLOBAL 和 STT_OBJECT,代表一个全局变量。

 

5. elf常见section的含义

数据段包括.bss,.data,.rodata

• .data 存放已初始化的全局变量、常量。
• .bss 存放未初始化的全局变量、局部静态变量,所以此段数据均为0，仅作占位。
• .rodata 是只读数据段,此段的数据不可修改,存放常量。

 

.interp:  和动态链接相关， 静态链接的程序是没有这个段的， 该段用来设置动态链接器路径，如下图所示：

 

6. 重定位表

通常，在编译过程中产生的目标文件(*.o)中， 会有一个叫做“.rel.text”的段， 它的类型（sh_type） 为“SHT_REL”， 也就是说它 

是一个重定位表（Relocation Table） 。链接器在处理目标文件时， 须要对目标文件中某些部位进行重定位， 即代码段和数据段

中那些对绝对地址的引用的位置。 这些重定位的信息都记录在ELF文件的重定位表里面， 对于每个须重定位的代码段或数据段，

都会有一个相应的重定位表。 其中“.rel.text”就是针对“.text”段的重定位表， 因为“.text”段中至少有一个绝对地址的引用， 比如

对“printf”函数的调用； 而“.data”段则没有对绝对地址的引用， 它只包含了几个常量， 所以没有针对“.data”段的重定位表

“.rel.data”。一个重定位表同时也是ELF的一个段， 那么这个段的类型（sh_type） 就是“SHT_REL”类型的， 它的“sh_link”表

示符号表的下标， 它的“sh_info”表示它作用于哪个段。 比如“.rel.text”作用于“.text”段， 而“.text”段的下标为“1”， 那么“.rel.text”的

“sh_info”为“1”。

重定位表在链接过程中起着非常重要的作用， 可参考另一篇文章：链接

参考

 感谢博友们的无私奉献

 ELF格式解析

 ELF文件格式