Comprensión del formato de archivo ELF

Del código fuente al código binario

La programación comienza con tener una idea inteligente y escribir el código fuente en un lenguaje de programación de su elección, por ejemplo C, y guardar el código fuente en un archivo. Con la ayuda de un compilador adecuado, por ejemplo GCC, su código fuente se traduce en código objeto, primero. Finalmente, el vinculador traduce el código del objeto en un archivo binario que vincula el código del objeto con las bibliotecas a las que se hace referencia. Este archivo contiene las instrucciones individuales como código de máquina que son entendidas por la CPU y se ejecutan tan pronto como se ejecuta el programa compilado.

El archivo binario mencionado anteriormente sigue una estructura específica, y uno de los más comunes se llama ELF que abrevia el formato ejecutable y enlazable. Se usa ampliamente para archivos ejecutables, archivos de objetos reubicables, bibliotecas compartidas y volcados de núcleo.

Hace veinte años, en 1999, el proyecto 86open eligió ELF como el formato de archivo binario estándar para Unix y sistemas similares a Unix en procesadores x86. Afortunadamente, el formato ELF se había documentado previamente tanto en la interfaz binaria de aplicación de System V como en el estándar de interfaz de herramientas [4]. Este hecho simplificó enormemente el acuerdo de estandarización entre los diferentes proveedores y desarrolladores de sistemas operativos basados en Unix.

La razón detrás de esa decisión fue el diseño de ELF: flexibilidad, extensibilidad y soporte multiplataforma para diferentes formatos endian y tamaños de direcciones. El diseño de ELF no se limita a un procesador, un conjunto de instrucciones o una arquitectura de hardware específicos. Para una comparación detallada de los formatos de archivos ejecutables, eche un vistazo aquí [3].

Desde entonces, el formato ELF está siendo utilizado por varios sistemas operativos diferentes. Entre otros, esto incluye Linux, Solaris / Illumos, Free-, Net- y OpenBSD, QNX, BeOS / Haiku y Fuchsia OS [2]. Además, lo encontrará en dispositivos móviles con Android, Maemo o Meego OS / Sailfish OS, así como en consolas de juegos como PlayStation Portable, Dreamcast y Wii.

La especificación no aclara la extensión del nombre de archivo para archivos ELF. En uso hay una variedad de combinaciones de letras, como .axf, .compartimiento, .duende, .o, .prx, .soplo, .ko, .y entonces .mod, o ninguno.

La estructura de un archivo ELF

En una terminal de Linux, el comando man elf le brinda un resumen útil sobre la estructura de un archivo ELF:

Listado 1: La página de manual de la estructura ELF

$ hombre elfo
ELF (5) Manual del programador de Linux ELF (5)
NOMBRE
elf: formato de archivos ejecutables y de formato de enlace (ELF)
SINOPSIS
#incluir
DESCRIPCIÓN
El archivo de encabezado define el formato del binario ejecutable ELF
archivos. Entre estos archivos se encuentran los archivos ejecutables normales, reubicables
archivos de objeto, archivos principales y bibliotecas compartidas.
Un archivo ejecutable que utiliza el formato de archivo ELF consta de un encabezado ELF,
seguido de una tabla de encabezado de programa o una tabla de encabezado de sección, o ambos.
El encabezado ELF siempre está en el desplazamiento cero del archivo. El programa
la tabla de encabezado y el desplazamiento de la tabla de encabezado de sección en el archivo son
definido en el encabezado ELF. Las dos tablas describen el resto de
particularidades del expediente.
..

Como puede ver en la descripción anterior, un archivo ELF consta de dos secciones: un encabezado ELF y datos de archivo. La sección de datos del archivo puede consistir en una tabla de encabezado de programa que describe cero o más segmentos, una tabla de encabezado de sección que describe cero o más secciones, seguida de datos referidos por entradas de la tabla de encabezado de programa y la tabla de encabezado de sección. Cada segmento contiene información necesaria para la ejecución en tiempo de ejecución del archivo, mientras que las secciones contienen datos importantes para vincular y reubicar. La figura 1 ilustra esto esquemáticamente.

El encabezado ELF

El encabezado ELF tiene 32 bytes de longitud e identifica el formato del archivo. Comienza con una secuencia de cuatro bytes únicos que son 0x7F seguidos de 0x45, 0x4c y 0x46, que se traduce en las tres letras E, L y F. Entre otros valores, el encabezado también indica si se trata de un archivo ELF para formato de 32 o 64 bits, utiliza un endianness pequeño o grande, muestra la versión ELF y para qué sistema operativo se compiló el archivo para interoperar con el interfaz binaria de aplicación (ABI) correcta y conjunto de instrucciones de cpu.

El hexdump del toque de archivo binario tiene el siguiente aspecto:

.Listado 2: El hexdump del archivo binario

$ hd / usr / bin / touch | cabeza -5
00000000 7f 45 4c 46 02 01 01 00 00 00 00 00 00 00 00 00 00 |.ELF… |
00000010 02 00 3e 00 01 00 00 00 e3 25 40 00 00 00 00 00 |…>…% @… |
00000020 40 00 00 00 00 00 00 00 28 e4 00 00 00 00 00 00 | @… (… |
00000030 00 00 00 00 40 00 38 00 09 00 40 00 1b 00 1a 00 | [email protected] @… |
00000040 06 00 00 00 05 00 00 00 40 00 00 00 00 00 00 00 | [email protected] |

Debian GNU / Linux ofrece el comando readelf que se proporciona en el paquete GNU 'binutils'. Acompañado por el interruptor -h (versión corta de "-file-header") muestra muy bien el encabezado de un archivo ELF. El Listado 3 ilustra esto para el comando touch.

.Listado 3: Visualización del encabezado de un archivo ELF

$ readelf -h / usr / bin / touch
Encabezado ELF:
Magia: 7f 45 4c 46 02 01 01 00 00 00 00 00 00 00 00 00
Clase: ELF64
Datos: complemento a 2, little endian
Versión: 1 (actual)
OS / ABI: UNIX - Sistema V
Versión ABI: 0
Tipo: EXEC (archivo ejecutable)
Máquina: Microdispositivos avanzados X86-64
Versión: 0x1
Dirección del punto de entrada: 0x4025e3
Inicio de los encabezados del programa: 64 (bytes en el archivo)
Inicio de los encabezados de sección: 58408 (bytes en el archivo)
Banderas: 0x0
Tamaño de este encabezado: 64 (bytes)
Tamaño de los encabezados del programa: 56 (bytes)
Número de encabezados de programa: 9
Tamaño de los encabezados de sección: 64 (bytes)
Número de encabezados de sección: 27
Índice de tabla de cadenas de encabezado de sección: 26

El encabezado del programa

El encabezado del programa muestra los segmentos utilizados en tiempo de ejecución y le dice al sistema cómo crear una imagen de proceso. El encabezado del Listado 2 muestra que el archivo ELF consta de 9 encabezados de programa que tienen un tamaño de 56 bytes cada uno, y el primer encabezado comienza en el byte 64.

Nuevamente, el comando readelf ayuda a extraer la información del archivo ELF. El modificador -l (abreviatura de -program-headers o -segments) revela más detalles como se muestra en el Listado 4.

.Listado 4: Mostrar información sobre los encabezados del programa

$ readelf -l / usr / bin / touch
El tipo de archivo Elf es EXEC (archivo ejecutable)
Punto de entrada 0x4025e3
Hay 9 encabezados de programa, comenzando en el desplazamiento 64
Encabezados de programa:
Tipo Offset VirtAddr PhysAddr
FileSiz MemSiz Flags Align
PHDR 0x0000000000000040 0x0000000000400040 0x0000000000400040
0x00000000000001f8 0x00000000000001f8 R E 8
INTERP 0x0000000000000238 0x0000000000400238 0x0000000000400238
0x000000000000001c 0x000000000000001c R 1
[Solicitando intérprete de programa: / lib64 / ld-linux-x86-64.entonces.2]
CARGA 0x0000000000000000 0x0000000000400000 0x0000000000400000
0x000000000000d494 0x000000000000d494 R E 200000
CARGA 0x000000000000de10 0x000000000060de10 0x000000000060de10
0x0000000000000524 0x0000000000000748 RW 200000
DINÁMICO 0x000000000000de28 0x000000000060de28 0x000000000060de28
0x00000000000001d0 0x00000000000001d0 RW 8
NOTA 0x0000000000000254 0x0000000000400254 0x0000000000400254
0x0000000000000044 0x0000000000000044 R 4
GNU_EH_FRAME 0x000000000000bc40 0x000000000040bc40 0x000000000040bc40
0x00000000000003a4 0x00000000000003a4 R 4
GNU_STACK 0x0000000000000000 0x0000000000000000 0x0000000000000000
0x0000000000000000 0x0000000000000000 RW 10
GNU_RELRO 0x000000000000de10 0x000000000060de10 0x000000000060de10
0x00000000000001f0 0x00000000000001f0 R 1
Mapeo de sección a segmento:
Secciones de segmento ..
00
01 .interp
02 .interp .Nota.Etiqueta ABI .Nota.ñu.ID de compilación .ñu.picadillo .dynsym .dynstr .ñu.versión .ñu.version_r .relacion.din .relacion.plt .en eso .plt .texto .fini .rodata .eh_frame_hdr .eh_frame
03 .init_array .fini_array .jcr .dinámica .tiene .tiene.plt .datos .bss
04 .dinámica
05 .Nota.Etiqueta ABI .Nota.ñu.ID de compilación
06 .eh_frame_hdr
07
08 .init_array .fini_array .jcr .dinámica .tiene

El encabezado de la sección

La tercera parte de la estructura ELF es el encabezado de la sección. Está destinado a enumerar las secciones individuales del binario. El modificador -S (abreviatura de -section-headers o -sections) enumera los diferentes encabezados. En cuanto al comando táctil, hay 27 encabezados de sección, y el Listado 5 muestra los primeros cuatro más el último, solo. Cada línea cubre el tamaño de la sección, el tipo de sección, así como su dirección y desplazamiento de memoria.

.Listado 5: Detalles de la sección revelados por readelf

$ readelf -S / usr / bin / touch
Hay 27 encabezados de sección, comenzando en el desplazamiento 0xe428:
Encabezados de sección:
[Nr] Nombre Tipo Dirección Desplazamiento
Tamaño Ent Tamaño Banderas Información del vínculo Alinear
[0] NULO 0000000000000000 00000000
0000000000000000 0000000000000000 0 0 0
[1] .interp PROGBITS 0000000000400238 00000238
000000000000001c 0000000000000000 A 0 0 1
[2] .Nota.Etiqueta ABI NOTA 0000000000400254 00000254
0000000000000020 0000000000000000 A 0 0 4
[3] .Nota.ñu.build-i NOTA 0000000000400274 00000274
..
..
[26] .shstrtab STRTAB 0000000000000000 0000e334
00000000000000ef 0000000000000000 0 0 1
Clave de banderas:
W (escribir), A (alloc), X (ejecutar), M (fusionar), S (cadenas), l (grande)
I (información), L (orden de enlace), G (grupo), T (TLS), E (excluir), x (desconocido)
O (se requiere procesamiento adicional del SO) o (específico del SO), p (específico del procesador)

Herramientas para analizar un archivo ELF

Como puede haber notado en los ejemplos anteriores, GNU / Linux está desarrollado con una serie de herramientas útiles que lo ayudan a analizar un archivo ELF. El primer candidato que veremos es la utilidad de archivo.

El archivo muestra información básica sobre los archivos ELF, incluida la arquitectura del conjunto de instrucciones para la que está destinado el código de un archivo de objeto reubicable, ejecutable o compartido. En el listado 6, le dice que / bin / touch es un archivo ejecutable de 64 bits que sigue la base estándar de Linux (LSB), vinculado dinámicamente y construido para la versión 2 del kernel GNU / Linux.6.32.

.Listado 6: Información básica usando archivo

$ archivo / bin / touch
/ bin / touch: ELF ejecutable LSB de 64 bits, x86-64, versión 1 (SYSV), vinculado dinámicamente, intérprete / lib64 / l,
para GNU / Linux 2.6.32, BuildID [sha1] = ec08d609e9e8e73d4be6134541a472ad0ea34502, despojado
PS

El segundo candidato es readelf. Muestra información detallada sobre un archivo ELF. La lista de conmutadores es comparativamente larga y cubre todos los aspectos del formato ELF. Usando el interruptor -n (abreviatura de -notes), el Listado 7 muestra las secciones de notas, solo, que existen en el archivo táctil: la etiqueta de versión ABI y la cadena de bits de ID de compilación.

.Listado 7: Mostrar secciones seleccionadas de un archivo ELF

$ readelf -n / usr / bin / touch
Visualización de notas encontradas en el desplazamiento de archivo 0x00000254 con longitud 0x00000020:
Propietario Tamaño de datos Descripción
GNU 0x00000010 NT_GNU_ABI_TAG (etiqueta de versión ABI)
SO: Linux, ABI: 2.6.32
Visualización de notas encontradas en el desplazamiento de archivo 0x00000274 con longitud 0x00000024:
Propietario Tamaño de datos Descripción
GNU 0x00000014 NT_GNU_BUILD_ID (cadena de bits de ID de compilación única)
ID de compilación: ec08d609e9e8e73d4be6134541a472ad0ea34502

Tenga en cuenta que en Solaris y FreeBSD, la utilidad elfdump [7] se corresponde con readelf. A partir de 2019, no ha habido una nueva versión o actualización desde 2003.

El número tres es el paquete llamado elfutils [6] que está puramente disponible para Linux. Proporciona herramientas alternativas a GNU Binutils y también permite validar archivos ELF. Tenga en cuenta que todos los nombres de las utilidades provistas en el paquete comienzan con eu para 'elf utils'.

Por último, pero no menos importante, mencionaremos objdump. Esta herramienta es similar a readelf pero se enfoca en archivos de objetos. Proporciona un rango similar de información sobre archivos ELF y otros formatos de objeto.

.Listado 8: Información de archivo extraída por objdump

$ objdump -f / bin / touch
/ bin / touch: formato de archivo elf64-x86-64
arquitectura: i386: x86-64, banderas 0x00000112:
EXEC_P, HAS_SYMS, D_PAGED
dirección de inicio 0x00000000004025e3
PS

También hay un paquete de software llamado 'elfkickers' [9] que contiene herramientas para leer el contenido de un archivo ELF y manipularlo. Desafortunadamente, el número de lanzamientos es bastante bajo, y por eso solo lo mencionamos y no mostramos más ejemplos.

Como desarrollador, puede echar un vistazo a 'pax-utils' [10,11], en su lugar. Este conjunto de utilidades proporciona una serie de herramientas que ayudan a validar archivos ELF. Como ejemplo, dumpelf analiza el archivo ELF y devuelve un archivo de encabezado C que contiene los detalles; consulte la Figura 2.

Conclusión

Gracias a una combinación de diseño inteligente y excelente documentación, el formato ELF funciona muy bien y todavía se utiliza después de 20 años. Las utilidades que se muestran arriba le permiten una vista detallada de un archivo ELF y le permiten averiguar qué está haciendo un programa. Estos son los primeros pasos para analizar software - happy hacking!

Enlaces y referencias

[1] Formato ejecutable y enlazable (ELF), Wikipedia
[2] SO fucsia
[3] Comparación de formatos de archivos ejecutables, Wikipedia
[4] Linux Foundation, especificaciones de referencia
[5] Ciro Santilli: Tutorial de ELF Hello World
[6] paquete Debian elfutils
[7] elfdump
[8] Michael Boelen: El 101 de los archivos ELF en Linux: comprensión y análisis
[9] Elfkickers
[10] Utilidades reforzadas / PaX
[11] pax-utils, paquete Debian

Agradecimientos

El escritor desea agradecer a Axel Beckert por su apoyo en la preparación de este artículo.