Das ELF-Dateiformat verstehen

Vom Quellcode zum Binärcode

Programmieren beginnt damit, eine clevere Idee zu haben, den Quellcode in einer Programmiersprache Ihrer Wahl, zum Beispiel C, zu schreiben und den Quellcode in einer Datei zu speichern. Mit Hilfe eines geeigneten Compilers, zum Beispiel GCC, wird Ihr Quellcode zunächst in Objektcode übersetzt. Schließlich übersetzt der Linker den Objektcode in eine Binärdatei, die den Objektcode mit den referenzierten Bibliotheken verknüpft. Diese Datei enthält die einzelnen Anweisungen als Maschinencode, die von der CPU verstanden werden und ausgeführt werden, sobald das übersetzte Programm ausgeführt wird.

Die oben erwähnte Binärdatei folgt einer bestimmten Struktur, und eine der gebräuchlichsten heißt ELF, die Abkürzung für Executable and Linkable Format. Es wird häufig für ausführbare Dateien, verschiebbare Objektdateien, gemeinsam genutzte Bibliotheken und Core-Dumps verwendet.

Vor zwanzig Jahren - im Jahr 1999 - hat das 86open-Projekt ELF als Standard-Binärdateiformat für Unix und Unix-ähnliche Systeme auf x86-Prozessoren gewählt. Glücklicherweise war das ELF-Format zuvor sowohl im System V Application Binary Interface als auch im Tool Interface Standard [4] dokumentiert. Diese Tatsache hat die Vereinbarung über die Standardisierung zwischen den verschiedenen Herstellern und Entwicklern von Unix-basierten Betriebssystemen enorm vereinfacht.

Der Grund für diese Entscheidung war das Design von ELF – Flexibilität, Erweiterbarkeit und plattformübergreifende Unterstützung für verschiedene Endian-Formate und Adressgrößen. Das Design von ELF ist nicht auf einen bestimmten Prozessor, Befehlssatz oder eine Hardwarearchitektur beschränkt. Einen detaillierten Vergleich der ausführbaren Dateiformate finden Sie hier [3].

Seitdem wird das ELF-Format von mehreren verschiedenen Betriebssystemen verwendet. Dazu gehören unter anderem Linux, Solaris/Illumos, Free-, Net- und OpenBSD, QNX, BeOS/Haiku und Fuchsia OS [2]. Darüber hinaus finden Sie es auf mobilen Geräten mit Android, Maemo oder Meego OS/Sailfish OS sowie auf Spielekonsolen wie PlayStation Portable, Dreamcast und Wii.

Die Spezifikation klärt die Dateinamenerweiterung für ELF-Dateien nicht. Im Einsatz ist eine Vielzahl von Buchstabenkombinationen, wie z .axf, .Behälter, .Elf, .Ö, .prx, .Puff, .ko, .so und .Mod oder keiner.

Die Struktur einer ELF-Datei

Auf einem Linux-Terminal gibt Ihnen der Befehl man elf eine praktische Zusammenfassung über die Struktur einer ELF-Datei:

Listing 1: Die Manpage der ELF-Struktur

$ Mann Elf
ELF(5) Linux-Programmierhandbuch ELF(5)
NAME
elf - Format von Executable and Linking Format (ELF) Dateien
ZUSAMMENFASSUNG
#einschließen
BESCHREIBUNG
Die Header-Datei definiert das Format der ausführbaren ELF-Binärdatei
Dateien. Unter diesen Dateien befinden sich normale ausführbare Dateien, verschiebbar
Objektdateien, Kerndateien und gemeinsam genutzte Bibliotheken.
Eine ausführbare Datei im ELF-Dateiformat besteht aus einem ELF-Header,
gefolgt von einer Programmkopftabelle oder einer Abschnittskopftabelle oder beidem.
Der ELF-Header befindet sich immer am Offset Null der Datei. Das Programm
Header-Tabelle und der Offset der Abschnitts-Header-Tabelle in der Datei sind
im ELF-Header definiert. Die beiden Tabellen beschreiben den Rest der
Besonderheiten der Datei.
…

Wie Sie der obigen Beschreibung entnehmen können, besteht eine ELF-Datei aus zwei Abschnitten - einem ELF-Header und Dateidaten. Der Dateidatenabschnitt kann aus einer Programmkopftabelle, die null oder mehr Segmente beschreibt, einer Abschnittskopftabelle, die null oder mehr Abschnitte beschreibt, gefolgt von Daten, auf die durch Einträge aus der Programmkopftabelle verwiesen wird, und der Abschnittskopftabelle bestehen. Jedes Segment enthält Informationen, die für die Ausführung der Datei zur Laufzeit erforderlich sind, während Abschnitte wichtige Daten zum Verknüpfen und Verschieben enthalten. Abbildung 1 veranschaulicht dies schematisch.

Der ELF-Header

Der ELF-Header ist 32 Byte lang und identifiziert das Format der Datei. Es beginnt mit einer Sequenz von vier eindeutigen Bytes, die 0x7F sind, gefolgt von 0x45, 0x4c und 0x46, was in die drei Buchstaben E, L und F übersetzt wird. Der Header gibt unter anderem auch an, ob es sich um eine ELF-Datei für 32- oder 64-Bit-Format handelt, verwendet Little oder Big Endianness, zeigt die ELF-Version sowie für welches Betriebssystem die Datei kompiliert wurde, um mit dem richtige Anwendungsbinärschnittstelle (ABI) und CPU-Befehlssatz.

Der Hexdump der Binärdatei touch sieht wie folgt aus:

.Listing 2: Der Hexdump der Binärdatei

$ hd /usr/bin/touch | Kopf -5
00000000 7f 45 4c 46 02 01 01 00 00 00 00 00 00 00 00 |.ELF… |
00000010 02 00 3e 00 01 00 00 00 e3 25 40 00 00 00 00 00 |… >… %@… |
00000020 40 00 00 00 00 00 00 00 28 e4 00 00 00 00 00 00 |@… (… |
00000030 00 00 00 00 40 00 38 00 09 00 40 00 1b 00 1a 00 |[email protected]@… |
00000040 06 00 00 00 05 00 00 00 40 00 00 00 00 00 00 00 |[email protected]|

Debian GNU/Linux bietet den Befehl readelf, der im GNU-Paket 'binutils' enthalten ist. Zusammen mit dem Schalter -h (Kurzversion für „-file-header“) wird der Header einer ELF-Datei schön angezeigt. Listing 3 veranschaulicht dies für den Befehl touch.

.Listing 3: Anzeigen des Headers einer ELF-Datei

$ readelf -h /usr/bin/touch
ELF-Header:
Magie: 7f 45 4c 46 02 01 01 00 00 00 00 00 00 00 00 00
Klasse: ELF64
Daten: 2er Komplement, Little Endian
Version: 1 (aktuell)
Betriebssystem/ABI: UNIX - System V
ABI-Version: 0
Typ: EXEC (ausführbare Datei)
Maschine: Advanced Micro Devices X86-64
Version: 0x1
Einstiegspunktadresse: 0x4025e3
Start der Programm-Header: 64 (Bytes in Datei)
Beginn der Abschnittsüberschriften: 58408 (Bytes in Datei)
Flaggen: 0x0
Größe dieses Headers: 64 (Byte)
Größe der Programm-Header: 56 (Byte)
Anzahl Programmköpfe: 9
Größe der Abschnittsüberschriften: 64 (Byte)
Anzahl der Abschnittsüberschriften: 27
Index der Abschnittsüberschrift-String-Tabelle: 26

Der Programmkopf

Der Programmkopf zeigt die zur Laufzeit verwendeten Segmente an und teilt dem System mit, wie ein Prozessabbild erstellt wird. Der Header aus Listing 2 zeigt, dass die ELF-Datei aus 9 Programm-Headern mit einer Größe von jeweils 56 Byte besteht und der erste Header bei Byte 64 . beginnt.

Auch hier hilft der Befehl readelf, die Informationen aus der ELF-Datei zu extrahieren. Der Schalter -l (kurz für -program-headers oder -segments) zeigt weitere Details wie in Listing 4 gezeigt.

.Listing 4: Informationen zu den Programmköpfen anzeigen

$ readelf -l /usr/bin/touch
Elf-Dateityp ist EXEC (ausführbare Datei)
Einstiegspunkt 0x4025e3
Es gibt 9 Programmköpfe, beginnend bei Offset 64
Programmüberschriften:
Typ Offset VirtAddr PhysAddr
FileSiz MemSiz Flags ausrichten
PHDR 0x000000000000040 0x0000000000400040 0x0000000000400040
0x00000000000001f8 0x00000000000001f8 R E 8
INTERP 0x000000000000238 0x0000000000400238 0x0000000000400238
0x000000000000001c 0x000000000000001c R 1
[Programminterpreter anfordern: /lib64/ld-linux-x86-64.so.2]
LOAD 0x0000000000000000 0x0000000000400000 0x0000000000400000
0x000000000000d494 0x000000000000d494 R E 200000
LADEN 0x000000000000de10 0x000000000060de10 0x000000000060de10
0x0000000000000524 0x0000000000000748 RW 200000
DYNAMISCH 0x000000000000de28 0x000000000060de28 0x000000000060de28
0x00000000000001d0 0x00000000000001d0 RW 8
HINWEIS 0x0000000000000254 0x0000000000400254 0x0000000000400254
0x0000000000000044 0x0000000000000044 R 4
GNU_EH_FRAME 0x000000000000bc40 0x000000000040bc40 0x000000000040bc40
0x00000000000003a4 0x00000000000003a4 R 4
GNU_STACK 0x0000000000000000 0x0000000000000000 0x0000000000000000
0x0000000000000000 0x0000000000000000 RW 10
GNU_RELRO 0x000000000000de10 0x000000000060de10 0x000000000060de10
0x00000000000001f0 0x00000000000001f0 R 1
Abschnitt zu Segmentzuordnung:
Segmentabschnitte…
00
01 .interp
02 .interp .Hinweis.ABI-Tag .Hinweis.Gnu.Build-ID .Gnu.hash .Dynamik .dynstr .Gnu.Ausführung .Gnu.version_r .rela.dyn .rela.plt .drin .plt .Text .fertig .rodata .eh_frame_hdr .eh_frame
03 .init_array .fini_array .jcr .dynamisch .habe .habe.plt .Daten .bss
04 .dynamisch
05 .Hinweis.ABI-Tag .Hinweis.Gnu.Build-ID
06 .eh_frame_hdr
07
08 .init_array .fini_array .jcr .dynamisch .habe

Die Abschnittsüberschrift

Der dritte Teil der ELF-Struktur ist die Abschnittsüberschrift. Es soll die einzelnen Abschnitte der Binärdatei auflisten. Der Schalter -S (kurz für -section-headers oder -sections) listet die verschiedenen Header auf. Was den Touch-Befehl betrifft, so gibt es 27 Abschnittsüberschriften, und Listing 5 zeigt nur die ersten vier plus die letzte. Jede Zeile umfasst die Abschnittsgröße, den Abschnittstyp sowie dessen Adresse und Speicheroffset.

.Listing 5: Von readelf enthüllte Abschnittsdetails

$readelf -S /usr/bin/touch
Es gibt 27 Abschnittsüberschriften, beginnend bei Offset 0xe428:
Abschnittsüberschriften:
[Nr] Name Typ Adresse Offset
Größe EntSize Flags Link Info Ausrichten
[ 0] NULL 0000000000000000 00000000
0000000000000000 0000000000000000 0 0 0
[1] .interp PROGBITS 0000000000400238 00000238
000000000000001c 0000000000000000 A 0 0 1
[ 2] .Hinweis.ABI-Tag HINWEIS 0000000000400254 00000254
0000000000000020 0000000000000000 A 0 0 4
[ 3] .Hinweis.Gnu.build-i HINWEIS 0000000000400274 00000274
…
…
[26] .shstrtab STRTAB 0000000000000000 0000e334
00000000000000ef 0000000000000000 0 0 1
Schlüssel zu Flaggen:
W (schreiben), A (zuordnen), X (ausführen), M (zusammenführen), S (Strings), l (groß)
I (Info), L (Link-Reihenfolge), G (Gruppe), T (TLS), E (Ausschließen), x (unbekannt)
O (zusätzliche OS-Verarbeitung erforderlich) o (OS-spezifisch), p (prozessorspezifisch)

Tools zum Analysieren einer ELF-Datei

Wie Sie vielleicht aus den obigen Beispielen bemerkt haben, ist GNU/Linux mit einer Reihe nützlicher Tools ausgestattet, die Ihnen bei der Analyse einer ELF-Datei helfen. Der erste Kandidat, den wir uns ansehen werden, ist das Dateidienstprogramm.

Datei zeigt grundlegende Informationen über ELF-Dateien an, einschließlich der Befehlssatzarchitektur, für die der Code in einer verschiebbaren, ausführbaren oder gemeinsam genutzten Objektdatei bestimmt ist. In Listing 6 erfahren Sie, dass /bin/touch eine ausführbare 64-Bit-Datei ist, die der Linux Standard Base (LSB) folgt, dynamisch verlinkt und für die GNU/Linux-Kernelversion 2 erstellt wurde.6.32.

.Listing 6: Grundlegende Informationen mit Datei

$ Datei /bin/touch
/bin/touch: ELF 64-bit LSB Executable, x86-64, Version 1 (SYSV), dynamisch gelinkt, Interpreter /lib64/l,
für GNU/Linux 2.6.32, BuildID[sha1]=ec08d609e9e8e73d4be6134541a472ad0ea34502, gestrippt
$

Der zweite Kandidat ist wieder selbst. Es zeigt detaillierte Informationen zu einer ELF-Datei an. Die Liste der Switches ist vergleichsweise lang und deckt alle Aspekte des ELF-Formats ab. Mit dem Schalter -n (kurz für -notes) Listing 7 zeigt nur die Notizabschnitte, die in der Datei touch vorhanden sind - das ABI-Versions-Tag und die Build-ID-Bitzeichenfolge.

.Listing 7: Ausgewählte Abschnitte einer ELF-Datei anzeigen

$ readelf -n /usr/bin/touch
Anzeigen von Notizen, die am Datei-Offset 0x00000254 mit der Länge 0x00000020 gefunden wurden:
Eigentümer Datengröße Beschreibung
GNU 0x00000010 NT_GNU_ABI_TAG (ABI-Versions-Tag)
Betriebssystem: Linux, ABI: 2.6.32
Anzeigen von Notizen, die am Datei-Offset 0x00000274 mit der Länge 0x00000024 gefunden wurden:
Eigentümer Datengröße Beschreibung
GNU 0x00000014 NT_GNU_BUILD_ID (eindeutiger Build-ID-Bitstring)
Build-ID: ec08d609e9e8e73d4be6134541a472ad0ea34502

Beachten Sie, dass unter Solaris und FreeBSD das Dienstprogramm elfdump [7] mit readelf korrespondiert. Ab 2019 gab es seit 2003 kein neues Release oder Update mehr.

Nummer drei ist das Paket namens elfutils [6], das nur für Linux verfügbar ist. Es bietet alternative Tools zu GNU Binutils und ermöglicht auch die Validierung von ELF-Dateien. Beachten Sie, dass alle Namen der im Paket bereitgestellten Dienstprogramme mit eu für 'elf utils' beginnen.

Zu guter Letzt erwähnen wir objdump. Dieses Tool ähnelt readelf, konzentriert sich jedoch auf Objektdateien. Es bietet eine ähnliche Bandbreite an Informationen über ELF-Dateien und andere Objektformate.

.Listing 8: Von objdump extrahierte Dateiinformationen

$ objdump -f /bin/touch
/bin/touch: Dateiformat elf64-x86-64
Architektur: i386:x86-64, Flags 0x00000112:
EXEC_P, HAS_SYMS, D_PAGED
Startadresse 0x00000000004025e3
$

Es gibt auch ein Softwarepaket namens 'elfkickers' [9], das Tools zum Lesen des Inhalts einer ELF-Datei sowie zum Bearbeiten dieser enthält. Leider ist die Zahl der Veröffentlichungen eher gering, deshalb erwähnen wir es nur und zeigen keine weiteren Beispiele.

Als Entwickler können Sie sich stattdessen 'pax-utils' [10,11] ansehen. Diese Reihe von Dienstprogrammen bietet eine Reihe von Tools, die bei der Validierung von ELF-Dateien helfen. Als Beispiel analysiert dumpelf die ELF-Datei und gibt eine C-Header-Datei mit den Details zurück - siehe Abbildung 2.

Fazit

Dank einer Kombination aus cleverem Design und exzellenter Dokumentation funktioniert das ELF-Format sehr gut und wird auch nach 20 Jahren noch verwendet use. Die oben gezeigten Dienstprogramme ermöglichen Ihnen einen Einblick in eine ELF-Datei und lassen Sie herausfinden, was ein Programm tut. Dies sind die ersten Schritte zur Analyse von Software - happy hacking!

Links und Referenzen

[1] Ausführbares und verlinkbares Format (ELF), Wikipedia
[2] Fuchsia OS
[3] Vergleich ausführbarer Dateiformate, Wikipedia
[4] Linux Foundation, referenzierte Spezifikationen
[5] Ciro Santilli: ELF Hello World Tutorial
[6] elfutils Debian-Paket
[7] elfdump
[8] Michael Boelen: Die 101 der ELF-Dateien unter Linux: Verständnis und Analyse
[9] Elfenkicker
[10] Gehärtete/PaX-Dienstprogramme
[11] pax-utils, Debian-Paket

Danksagung

Der Autor bedankt sich bei Axel Beckert für seine Unterstützung bei der Erstellung dieses Artikels.