Cách mở tệp elf trong windows. Phần mở rộng Tệp .ELF là gì? Các nút mô tả dữ liệu

19.5 Định dạng URL chung Tóm tắt những điều trên, chúng tôi lưu ý rằng:? URL bắt đầu với giao thức truy cập được sử dụng.? Đối với tất cả các ứng dụng ngoại trừ tin tức trực tuyến và email, theo sau là dấu phân cách: //.? Sau đó, tên máy chủ của máy chủ được chỉ định.? Cuối cùng

3.3.1. Định dạng RSS Bạn có thể đọc tin tức trang web theo nhiều cách khác nhau. Cách dễ nhất là thỉnh thoảng ghé thăm trang web và xem các tin nhắn mới. Theo

Định dạng MP3 Định dạng MP3 được tạo ra để phân phối các tệp nhạc được nén bằng codec MPEG 1 cấp 3. Đây hiện là định dạng phổ biến nhất để phân phối nhạc qua Internet và hơn thế nữa. Nó được hỗ trợ hoàn toàn bởi tất cả các chương trình ghi và xử lý âm thanh, cho

Định dạng MP3 Phương pháp nén âm thanh, cũng như định dạng tệp âm thanh nén, do tổ chức quốc tế MPEG (Moving Pictures Experts Group - Nhóm chuyên gia ghi âm video) đề xuất, dựa trên mã hóa âm thanh cảm nhận. Làm việc trên việc tạo ra các thuật toán mã hóa hiệu quả

Định dạng ELF Định dạng ELF có một số loại tệp mà chúng ta đã gọi khác nhau cho đến nay, chẳng hạn như tệp thực thi hoặc tệp đối tượng. Tuy nhiên, tiêu chuẩn ELF phân biệt giữa các loại sau: 1. Một tệp có thể định vị lại chứa các hướng dẫn và dữ liệu có thể

Định dạng số Cuối cùng đã đến định dạng số. Tôi đã đề cập đến nó nhiều hơn một lần, bây giờ tôi sẽ đặt mọi thứ lên giá (mặc dù bạn có thể đã hiểu ý nghĩa chung) Các số trong Excel có thể được hiển thị ở nhiều định dạng khác nhau. Trong phần này, chúng ta sẽ nói về những định dạng số nào tồn tại và cách

Trong bài đánh giá này, chúng tôi sẽ chỉ nói về phiên bản 32-bit của định dạng này, vì chúng tôi chưa cần phiên bản 64-bit.

Bất kỳ tệp ELF nào (bao gồm các mô-đun đối tượng của định dạng này) bao gồm các phần sau:

• Tiêu đề tệp ELF;
• Bảng các phần chương trình (có thể vắng mặt trong các môđun đối tượng);
• Các phần của tệp ELF;
• Bảng phần (có thể không có trong mô-đun thực thi);
• Vì lý do hiệu suất, định dạng ELF không sử dụng trường bit. Và tất cả các cấu trúc thường được căn chỉnh 4 byte.

Bây giờ chúng ta hãy xem xét các kiểu được sử dụng trong tiêu đề của tệp ELF:

Bây giờ hãy xem xét tiêu đề tệp:

#define EI_NIDENT 16 struct elf32_hdr ( unsigned char e_ident; Elf32_Half e_type; Elf32_Half e_machine; Elf32_Word e_version; Elf32_Addr e_entry; /* Entry point */ Elf32_Off e_phoff; Elf32_Off e_shoff; Elf32_Word e_flags; Elf32_Half e_ehsize; Elf32_Half e_phentsize; Elf32_Half e_phnum; Elf32_Half e_shentsize; Elf32_Half e_shnum; Elf32_Half e_shstrndx;);

Mảng e_ident chứa thông tin về hệ thống và bao gồm một số trường con.

Struct (unsigned char ei_magic; unsigned char ei_class; unsigned char ei_data; unsigned char ei_version; unsigned char ei_pad;)

• ei_magic - giá trị không đổi cho tất cả các tệp ELF, bằng (0x7f, "E", "L", "F")
• ei_class - lớp tệp ELF (1 - 32 bit, 2 - 64 bit mà chúng tôi không xem xét)
• ei_data - xác định thứ tự byte cho tệp này (thứ tự này phụ thuộc vào nền tảng và có thể trực tiếp (LSB hoặc 1) hoặc ngược lại (MSB hoặc 2)) Đối với bộ xử lý Intel, chỉ giá trị 1 được phép.
• ei_version là một trường khá vô dụng và nếu không bằng 1 (EV_CURRENT) thì tệp được coi là không hợp lệ.

Trường ei_pad là nơi hệ điều hành lưu trữ thông tin nhận dạng của chúng. Trường này có thể trống. Nó cũng không quan trọng đối với chúng tôi.

Trường tiêu đề e_type có thể chứa nhiều giá trị, đối với các tệp thực thi, nó phải ET_EXEC bằng 2

e_machine - xác định bộ xử lý mà tệp thực thi này có thể chạy (Đối với chúng tôi, giá trị của EM_386 là 3)

Trường e_version tương ứng với trường ei_version từ tiêu đề.

Trường e_entry xác định địa chỉ bắt đầu của chương trình, địa chỉ này được đặt trong eip trước khi bắt đầu chương trình.

Trường e_phoff chỉ định độ lệch từ đầu tệp nơi chứa bảng phần chương trình, được sử dụng để tải chương trình vào bộ nhớ.

Tôi sẽ không liệt kê mục đích của tất cả các trường, không phải tất cả đều cần thiết để tải. Tôi sẽ chỉ mô tả hai điều nữa.

Trường e_phentsize xác định kích thước của mục nhập trong bảng phần chương trình.

Và trường e_phnum chỉ định số lượng mục trong bảng phần chương trình.

Bảng phần (không phải chương trình) được sử dụng để liên kết các chương trình. chúng tôi sẽ không xem xét nó. Ngoài ra, chúng tôi sẽ không xem xét các mô-đun được liên kết động. Chủ đề này khá phức tạp, không thích hợp cho người mới làm quen lần đầu. :)

Bây giờ về các phần của chương trình. Định dạng của mục nhập bảng phần chương trình như sau:

Struct elf32_phdr (Elf32_Word p_type; Elf32_Off p_offset; Elf32_Addr p_vaddr; Elf32_Addr p_paddr; Elf32_Word p_filesz; Elf32_Word p_memsz; Elf32_Word p_flags; Elf32_Word p_flags;

Thông tin thêm về các lĩnh vực.

• p_type - xác định kiểu của phần chương trình. Nó có thể nhận một số giá trị, nhưng chúng tôi chỉ quan tâm đến một. PT_LOAD (1). Nếu phần thuộc loại này, thì nó sẽ được tải vào bộ nhớ.
• p_offset - xác định độ lệch trong tệp mà từ đó phần này bắt đầu.
• p_vaddr Chỉ định địa chỉ ảo nơi phần này sẽ được tải vào bộ nhớ.
• p_paddr - xác định địa chỉ vật lý nơi phần này sẽ được tải. Trường này không cần phải sử dụng và chỉ có ý nghĩa đối với một số nền tảng.
• p_filesz - Xác định kích thước của một phần trong tệp.
• p_memsz - xác định kích thước của một phần trong bộ nhớ. Giá trị này có thể lớn hơn giá trị trước đó. Trường p_flag xác định kiểu truy cập vào các phần trong bộ nhớ. Một số phần được phép biểu diễn, một số phần được ghi lại. Mọi người đều có sẵn để đọc trong các hệ thống hiện có.

Đang tải định dạng ELF.

Với tiêu đề, chúng tôi đã hình dung ra một chút. Bây giờ tôi sẽ đưa ra một thuật toán để tải một tệp nhị phân có định dạng ELF. Thuật toán là giản đồ, bạn không nên coi nó như một chương trình làm việc.

Int LoadELF (unsigned char * bin) (struct elf32_hdr * EH = (struct elf32_hdr *) bin; struct elf32_phdr * EPH; if (EH-> e_ident! = 0x7f || // Điều khiển MAGIC EH-> e_ident! = "E" || EH-> e_ident! = "L" || EH-> e_ident! = "F" || EH-> e_ident! = ELFCLASS32 || // Lớp điều khiển EH-> e_ident! = ELFDATA2LSB || // thứ tự byte EH-> e_ident! = EV_CURRENT || // phiên bản EH-> e_type! = ET_EXEC || // nhập EH-> e_machine! = EM_386 || // nền tảng EH-> e_version! = EV_CURRENT) // và một phiên bản nữa, chỉ trong trường hợp trả về ELF_WRONG; EPH = (struct elf32_phdr *) (bin + EH-> e_phoff); while (EH-> e_phnum--) (if (EPH-> p_type == PT_LOAD) memcpy (EPH-> p_vaddr, bin + EPH-> p_offset, EPH-> p_filesz); EPH = (struct elf32_phdr *) ((unsigned char *) EPH + EH-> e_phentsize));) return ELF_OK; )

Một lưu ý nghiêm túc là bạn nên phân tích các trường EPH-> p_flags và đặt quyền truy cập vào các trang tương ứng và chỉ cần sao chép sẽ không hoạt động ở đây, nhưng điều này không còn áp dụng cho định dạng nữa mà cho phân bổ bộ nhớ. Vì vậy, chúng tôi sẽ không nói về nó bây giờ.

Định dạng PE.

Theo nhiều cách, nó tương tự như định dạng ELF, và không có gì ngạc nhiên khi cũng nên có sẵn các phần để tải xuống.

Giống như mọi thứ trong Microsoft :) định dạng PE dựa trên định dạng EXE. Cấu trúc tệp là:

• 00h - Tiêu đề EXE (Tôi sẽ không xem xét nó, nó cũ như Dos. :)
• 20h - tiêu đề OEM (không có gì đáng kể trong đó);
• 3ch - độ lệch tiêu đề PE thực trong tệp (dword).
• bàn di chuyển sơ khai;
• sơ khai;
• Tiêu đề PE;
• bảng đối tượng;
• các đối tượng tệp;

sơ khai là một chương trình chạy ở chế độ thực và thực hiện một số công việc sơ bộ. Nó có thể không có sẵn, nhưng đôi khi nó có thể cần thiết.

Chúng tôi quan tâm đến một thứ khác, tiêu đề PE.

Cấu trúc của nó như thế này:

Struct pe_hdr (pe_sign dài không dấu; pe_cputype ngắn không dấu; pe_objnum ngắn không dấu; pe_time ngắn không dấu; pe_time dài không dấu; pe_cofftbl_off dài không dấu; pe_cofftbl_size không dấu; pe_nthdr_size; không dấu ; unsigned long pe_entry; unsigned long pe_code_base; unsigned long pe_data_base; unsigned long pe_image_base; unsigned long pe_obj_align; unsigned long pe_file_align; // ... à, và rất nhiều thứ khác, không quan trọng.);

Có rất nhiều thứ ở đó. Chỉ cần nói rằng kích thước của tiêu đề này là 248 byte.

Và điều chính là hầu hết các trường này không được sử dụng. (Ai xây dựng như vậy?) Không, tất nhiên, họ có mục đích rõ ràng, nhưng chương trình thử nghiệm của tôi, chẳng hạn, chứa các số không trong các trường pe_code_base, pe_code_size, v.v., nhưng nó hoạt động tốt. Kết luận gợi ý rằng tệp được tải dựa trên bảng các đối tượng. Đó là những gì chúng ta sẽ nói về.

Bảng đối tượng đứng ngay sau tiêu đề PE. Các mục nhập trong bảng này có định dạng sau:

Struct pe_ohdr (unsigned char o_name; unsigned long o_vsize; unsigned long o_vaddr; unsigned long o_psize; unsigned long o_poff; unsigned char o_reserved; unsigned long o_flags;);

• o_name - tên phần, nó hoàn toàn không quan tâm để tải;
• o_vsize - kích thước phần trong bộ nhớ;
• o_vaddr - địa chỉ bộ nhớ liên quan đến ImageBase;
• o_psize - kích thước phần trong tệp;
• o_poff - phần bù đắp trong tệp;
• o_flags - cờ phần;

Đây là giá trị xem xét các lá cờ một cách chi tiết hơn.

• 00000004h - được sử dụng cho mã có hiệu số 16 bit
• 00000020h - phần mã
• 00000040h - phần dữ liệu khởi tạo
• 00000080h - phần dữ liệu chưa khởi tạo
• 00000200h - nhận xét hoặc bất kỳ loại thông tin nào khác
• 00000400h - phần lớp phủ
• 00000800h - sẽ không phải là một phần của hình ảnh chương trình
• 00001000h - dữ liệu chung
• 00500000h - căn chỉnh mặc định trừ khi được chỉ định khác
• 02000000h - có thể được dỡ bỏ khỏi bộ nhớ
• 04000000h - không được lưu trong bộ nhớ đệm
• 08000000h - không thể phân trang
• 10000000h - đã chia sẻ
• 20000000h - khả thi
• 40000000h - có thể đọc được
• 80000000h - bạn có thể viết

Một lần nữa, tôi sẽ không ở phần chia sẻ và lớp phủ, chúng tôi quan tâm đến mã, dữ liệu và quyền truy cập.

Nói chung, thông tin này đã đủ để tải xuống tệp nhị phân.

Đang tải định dạng PE.

Đây một lần nữa không phải là một chương trình đã hoàn thành, mà là một thuật toán tải.

Và một lần nữa, nhiều điểm không được đề cập, vì chúng vượt ra ngoài chủ đề.

Nhưng bây giờ cần nói một chút về các tính năng hiện có của hệ thống.

Các tính năng của hệ thống.

Mặc dù tính linh hoạt của các biện pháp bảo vệ có sẵn trong bộ xử lý (bảo vệ ở cấp bảng mô tả, bảo vệ ở cấp phân đoạn, bảo vệ cấp trang), trong các hệ thống hiện có (cả trong Windows và Unix), chỉ có bảo vệ trang được sử dụng đầy đủ, mặc dù nó có thể giữ cho mã không được viết, nhưng không thể giữ cho dữ liệu không được thực thi. (Có thể đây là lý do cho sự phong phú của các lỗ hổng hệ thống?)

Tất cả các phân đoạn được đánh địa chỉ từ 0 địa chỉ tuyến tính và mở rộng đến cuối bộ nhớ tuyến tính. Quá trình phân giới chỉ xảy ra ở cấp bảng trang.

Về vấn đề này, tất cả các mô-đun được liên kết không phải từ các địa chỉ bắt đầu, nhưng với một khoảng chênh lệch đủ lớn trong phân đoạn. Trên Windows, địa chỉ cơ sở trong phân đoạn là 0x400000, trên Unix (Linux hoặc FreeBSD) là 0x8048000.

Một số tính năng cũng liên quan đến phân trang bộ nhớ.

Các tệp ELF được liên kết theo cách mà ranh giới và kích thước của các phần nằm trên 4 kilobyte khối của tệp.

Và ở định dạng PE, mặc dù thực tế là bản thân định dạng cho phép bạn căn chỉnh các phần 512 byte, căn chỉnh phần 4k được sử dụng, căn chỉnh nhỏ hơn trong Windows không được coi là chính xác.

Nếu máy tính của bạn có chương trình chống vi rút có thể quét tất cả các tệp trên máy tính, cũng như từng tệp riêng lẻ. Bạn có thể quét bất kỳ tệp nào bằng cách nhấp chuột phải vào tệp và chọn tùy chọn thích hợp để quét vi-rút cho tệp.

Ví dụ, trong hình này, tập tin my-file.elf, sau đó bạn cần nhấp chuột phải vào tệp này và trong menu tệp, hãy chọn tùy chọn "quét bằng AVG". Chọn tùy chọn này sẽ mở AVG Antivirus và quét vi-rút cho tệp.

Đôi khi một lỗi có thể do cài đặt phần mềm không chính xác, có thể do sự cố xảy ra trong quá trình cài đặt. Nó có thể can thiệp vào hệ điều hành của bạn liên kết tệp ELF của bạn với ứng dụng phần mềm phù hợp, ảnh hưởng đến cái gọi là "liên kết phần mở rộng tệp".

Đôi khi đơn giản cài đặt lại Dolphin (giả lập) có thể giải quyết vấn đề của bạn bằng cách liên kết đúng cách ELF với Dolphin (trình giả lập). Trong các trường hợp khác, sự cố liên kết tệp có thể do lập trình phần mềm tồi nhà phát triển và bạn có thể cần liên hệ với nhà phát triển để được hỗ trợ thêm.

Khuyên bảo: Hãy thử cập nhật Dolphin (giả lập) lên phiên bản mới nhất để đảm bảo bạn có các bản vá và cập nhật mới nhất.

Điều này có vẻ quá rõ ràng, nhưng thường chính tệp ELF có thể gây ra sự cố. Nếu bạn nhận được tệp qua tệp đính kèm email hoặc tải xuống từ một trang web và quá trình tải xuống bị gián đoạn (ví dụ: do mất điện hoặc lý do khác), tệp có thể bị hỏng. Nếu có thể, hãy thử lấy một bản sao mới của tệp ELF và thử mở lại.

Cẩn thận: Tệp bị hỏng có thể gây ra thiệt hại phụ cho phần mềm độc hại trước đó hoặc hiện có trên PC của bạn, vì vậy điều quan trọng là phải cập nhật máy tính của bạn với phần mềm chống vi-rút cập nhật.

Nếu tệp ELF của bạn liên kết với phần cứng trên máy tính của bạnđể mở tệp bạn có thể cần cập nhật trình điều khiển thiết bị liên kết với thiết bị này.

Vấn đề này thường được liên kết với các loại tệp phương tiện, phụ thuộc vào việc mở thành công phần cứng bên trong máy tính, ví dụ: card âm thanh hoặc card màn hình. Ví dụ: nếu bạn đang cố gắng mở một tệp âm thanh nhưng không thể mở được, bạn có thể cần phải cập nhật trình điều khiển card âm thanh.

Khuyên bảo: Nếu khi bạn cố gắng mở một tệp ELF, bạn nhận được Thông báo lỗi liên quan đến tệp .SYS, vấn đề có thể là liên quan đến trình điều khiển thiết bị bị hỏng hoặc lỗi thời cần được cập nhật. Quá trình này có thể được tạo thuận lợi bằng cách sử dụng phần mềm cập nhật trình điều khiển như DriverDoc.

Nếu các bước không giải quyết được vấn đề và bạn vẫn gặp sự cố khi mở tệp ELF, điều này có thể do thiếu tài nguyên hệ thống có sẵn. Một số phiên bản của tệp ELF có thể yêu cầu một lượng tài nguyên đáng kể (ví dụ: bộ nhớ / RAM, sức mạnh xử lý) để mở đúng cách trên máy tính của bạn. Sự cố này khá phổ biến nếu bạn đang sử dụng cùng lúc phần cứng máy tính khá cũ và hệ điều hành mới hơn nhiều.

Sự cố này có thể xảy ra khi máy tính gặp khó khăn trong việc hoàn thành tác vụ vì hệ điều hành (và các dịch vụ khác chạy nền) có thể tiêu tốn quá nhiều tài nguyên để mở tệp ELF. Thử đóng tất cả các ứng dụng trên PC của bạn trước khi mở Tệp trò chơi Nintendo Wii. Bằng cách giải phóng tất cả các tài nguyên hiện có trên máy tính của bạn, bạn sẽ đảm bảo điều kiện tốt nhất để cố gắng mở tệp ELF.

nếu bạn đã hoàn thành tất cả các bước trên và tệp ELF của bạn vẫn không mở, bạn có thể cần chạy nâng cấp phần cứng. Trong hầu hết các trường hợp, ngay cả với các phiên bản phần cứng cũ hơn, sức mạnh xử lý vẫn có thể là quá đủ cho hầu hết các ứng dụng của người dùng (trừ khi bạn đang thực hiện nhiều công việc đòi hỏi nhiều CPU như kết xuất 3D, lập mô hình tài chính / khoa học hoặc công việc chuyên sâu về truyền thông ). Vì vậy, có khả năng là máy tính của bạn không có đủ bộ nhớ(thường được gọi là "RAM", hoặc RAM) để thực hiện tác vụ mở tệp.

Phiên bản của câu trả lời này với TOC tốt và nhiều nội dung hơn: http://www.cirosantilli.com/elf-hello-world (nhấp vào đây giới hạn 30 nghìn ký tự)

Tiêu chuẩn

ELF do LSB cung cấp:

• chung cốt lõi: http://refspecs.linuxfoundation.org/LSB_4.1.0/LSB-Core-generic/LSB-Core-generic/elf-generic.html
• lõi AMD64: http://refspecs.linuxfoundation.org/LSB_4.1.0/LSB-Core-AMD64/LSB-Core-AMD64/book1.html

LSB chủ yếu đề cập đến các tiêu chuẩn khác với các phần mở rộng nhỏ, cụ thể là:

chung chung (cả hai của SCO):

• Hệ thống V ABI 4.1 (1997) http://www.sco.com/developers/devspecs/gabi41.pdf, không phải 64 bit, mặc dù một số ma thuật được dành riêng cho nó. Đối với các tệp chính cũng vậy.
• Hệ thống V ABI Cập nhật DRAFT 17 (2003) http://www.sco.com/developers/gabi/2003-12-17/contents.html thêm 64 bit. Chỉ cập nhật chương 4 và 5 của tài liệu trước: phần còn lại vẫn có giá trị và vẫn được tham khảo.

• kiến trúc cụ thể:

  • IA-32: http://refspecs.linuxfoundation.org/LSB_4.1.0/LSB-Core-IA32/LSB-Core-IA32/elf-ia32.html trỏ chủ yếu đến http://www.sco.com/developers/ devspecs / abi386-4.pdf
  • AMD64: http://refspecs.linuxfoundation.org/LSB_4.1.0/LSB-Core-AMD64/LSB-Core-AMD64/elf-amd64.html, về cơ bản trỏ đến tài liệu http://www.x86-64.org/ /abi.pdf

Một sơ yếu lý lịch hữu ích có thể được tìm thấy tại:

Cấu trúc của nó có thể được kiểm tra bằng cách sử dụng các cách thân thiện với người dùng như readelf và objdump.

Tạo một ví dụ

Hãy chia nhỏ một ví dụ thực thi Linux x86-64 tối thiểu:

Phần .data hello_world db "Hello world!", 10 hello_world_len equ $ - phần hello_world .text global _start _start: mov rax, 1 mov rdi, 1 mov rsi, hello_world mov rdx, hello_world_len syscall mov rax, 60 mov rdi, 0 syscall

Tổng hợp với

Nasm -w + all -f elf64 -o "hello_world.o" "hello_world.asm" ld -o "hello_world.out" "hello_world.o"

• NASM 2.10.09
• Binutils phiên bản 2.24 (chứa ld)
• Ubuntu 14.04

Chúng tôi không sử dụng chương trình C vì điều đó sẽ làm phức tạp phân tích sẽ là cấp 2 :-)

biểu diễn hệ thập lục phân của nhị phân

Cấu trúc tệp chung

Tệp ELF chứa các phần sau:

• Tiêu đề ELF. Cho biết vị trí của bảng tiêu đề phần và bảng tiêu đề chương trình.

  Bảng tiêu đề phần (tùy chọn trong tệp thực thi). Mỗi người trong số họ có tiêu đề phần e_shnum, mỗi tiêu đề cho biết vị trí của phần.

  N phân vùng với N<= e_shnum (необязательно в исполняемом файле)

  Bảng tiêu đề chương trình (chỉ dành cho các tệp thực thi). Mỗi cái này có tiêu đề chương trình e_phnum, mỗi tiêu đề cho biết vị trí của phân đoạn.

  N phân đoạn, với N<= e_phnum (необязательно в исполняемом файле)

Thứ tự của các phần này không cố định: điều cố định duy nhất là tiêu đề ELF, tiêu đề này phải nằm đầu tiên trong tệp:

Tiêu đề ELF

Cách dễ nhất để xem tiêu đề là:

tự đọc -h hello_world.o tự đọc -h hello_world.out

Byte trong tệp đối tượng:

00000000 7f 45 4c 46 02 01 01 00 00 00 00 00 00 00 00 00 |. TỰ ........... | 00000010 01 00 3e 00 01 00 00 00 00 00 00 00 00 00 00 | ..> ............. | 00000020 00 00 00 00 00 00 00 00 40 00 00 00 00 00 00 00 | [email được bảo vệ]| 00000030 00 00 00 00 40 00 00 00 00 00 40 00 07 00 03 00 |[email được bảo vệ]@.....|

00000000 7f 45 4c 46 02 01 01 00 00 00 00 00 00 00 00 00 |. TỰ ........... | 00000010 02 00 3e 00 01 00 00 00 b0 00 40 00 00 00 00 00 | ..> [email được bảo vệ]| 00000020 40 00 00 00 00 00 00 00 10 01 00 00 00 00 00 00 |@...............| 00000030 00 00 00 00 40 00 38 00 02 00 40 00 06 00 03 00 |[email được bảo vệ]@.....|

Cấu trúc trình bày:

Typedef struct ( unsigned char e_ident; Elf64_Half e_type; Elf64_Half e_machine; Elf64_Word e_version; Elf64_Addr e_entry; Elf64_Off e_phoff; Elf64_Off e_shoff; Elf64_Word e_flags; Elf64_Half e_ehsize; Elf64_Half e_phentsize; Elf64_Half e_phnum; Elf64_Half e_shentsize; Elf64_Half e_shnum; Elf64_Half e_shstrndx; ) Elf64_Ehdr;

Phân rã bằng tay:

0 0: EI_MAG = 7f 45 4c 46 = 0x7f "E", "L", "F": số phép thuật ELF

0 4: EI_CLASS = 02 = ELFCLASS64: elf 64-bit

0 5: EI_DATA = 01 = ELFDATA2LSB: dữ liệu lớn

0 6: EI_VERSION = 01: phiên bản định dạng

0 7: EI_OSABI (chỉ dành cho năm 2003) = 00 = ELFOSABI_NONE: Không có phần mở rộng.

0 8: EI_PAD = 8x 00: byte dành riêng. Phải được đặt thành 0.

1 0: e_type = 01 00 = 1 (big endian) = ET_REl: định dạng có thể di dời

Trong 02 00 thực thi cho ET_EXEC.

1 2: e_machine = 3e 00 = 62 = EM_X86_64: Kiến trúc AMD64

1 4: e_version = 01 00 00 00: nên là 1

1 8: e_entry = 8x 00: điểm nhập của địa chỉ thực thi, hoặc 0 nếu không áp dụng được đối với tệp đối tượng, vì không có điểm nhập.

Trong tệp thực thi, đây là b0 00 40 00 00 00 00 00. VIỆC CẦN LÀM: chúng ta có thể cài đặt những gì khác? Kernel dường như đặt IP trực tiếp vào giá trị này, nó không được mã hóa cứng.

2 0: e_phoff = 8x 00: độ lệch bảng tiêu đề chương trình, 0 nếu không.

40 00 00 00 trong tệp thực thi, nghĩa là nó bắt đầu ngay sau tiêu đề ELF.

2 8: e_shoff = 40 7x 00 = 0x40: phần bù tệp bảng tiêu đề, 0 nếu không có.

3 0: e_flags = 00 00 00 00 VIỆC CẦN LÀM. Đặc biệt cho Arch.

3 4: e_ehsize = 40 00: kích thước của tiêu đề elf này. Tại sao lại là lĩnh vực này? Làm thế nào điều này có thể thay đổi?

3 6: e_phentsize = 00 00: kích thước của mỗi tiêu đề chương trình, 0 nếu không có.

38 00 trong tệp thực thi: độ dài tệp là 56 byte

3 8: e_phnum = 00 00: số mục tiêu đề chương trình, 0 nếu không có.

02 00 trong tệp thực thi: có 2 mục nhập.

3 A: e_shentsize và e_shnum = 40 00 07 00: kích thước tiêu đề phần và số lượng mục nhập

Bảng tiêu đề phần

Một mảng cấu trúc Elf64_Shdr.

Mỗi mục nhập chứa siêu dữ liệu về phần đó.

e_shoff của tiêu đề ELF đưa ra vị trí bắt đầu ở đây, 0x40.

e_shentsize và e_shnum từ tiêu đề ELF cho biết chúng ta có 7 mục nhập, mỗi mục dài 0x40.

Vì vậy, bảng có các byte từ 0x40 đến 0x40 + 7 + 0x40 - 1 = 0x1FF.

Một số tiêu đề phần được dành riêng cho một số loại phần nhất định: ví dụ: http://www.sco.com/developers/gabi/2003-12-17/ch4.sheader.html#special_silities. .text yêu cầu loại SHT_PROGBITS và SHF_ALLOC + SHF_EXECINSTR

readelf -S hello_world.o:

Có 7 tiêu đề phần, bắt đầu từ độ lệch 0x40: Tiêu đề phần: Tên Loại Địa chỉ Kích thước bù đắp Kích thước EntSize Cờ Liên kết Thông tin liên kết Căn chỉnh [0] NULL 0000000000000000 00000000 0000000000000000 0000000000000000 0 0 0 [1] .data PROGBITS 0000000000000000 000002000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000002] .text PROGBITS 0000000000000000 00000210 0000000000000027 0000000000000000 AX 0 0 16 [ 3] .shstrtab STRTAB 0000000000000000 00000240 0000000000000032 0000000000000000 0 0 1 [ 4] .symtab SYMTAB 0000000000000000 00000280 00000000000000a8 0000000000000018 5 6 4 [ 5] .strtab STRTAB 0000000000000000 00000330 0000000000000034 0000000000000000 0 0 1 [6] .rela.text RELA 0000000000000000 00000370 0000000000000018 0000000000000018 4 2 4 Phím để gắn cờ: W (ghi), A (phân bổ), X (thực thi), M (hợp nhất), S (chuỗi), l (lớn) I (thông tin), L (thứ tự liên kết), G (nhóm), T (TLS), E (loại trừ), x (không xác định) O (yêu cầu xử lý thêm hệ điều hành) o (hệ điều hành cụ thể), p (bộ xử lý cụ thể)

struct, được đại diện bởi mỗi mục nhập:

Cấu trúc Typedef (Elf64_Word sh_type; Elf64_Word sh_type; Elf64_Xword sh_flags; Elf64_Addr sh_addr; Elf64_Off sh_offset; Elf64_Xword sh_size; Elf64_Word sh_link; Elf64_Word shadize_ralign; Elf64_Word shadize_izeXfo)

Phần

Mục lục 0

Được chứa trong byte 0x40 đến 0x7F.

Phần đầu tiên luôn luôn kỳ diệu: http://www.sco.com/developers/gabi/2003-12-17/ch4.sheader.html nói:

Nếu số lượng phân vùng lớn hơn hoặc bằng SHN_LORESERVE (0xff00), e_shnum được đặt thành SHN_UNDEF (0) và số lượng mục nhập bảng tiêu đề phân vùng thực tế được chứa trong trường sh_size của tiêu đề phân vùng ở chỉ mục 0 (nếu không, thành viên sh_size của mục nhập ban đầu chứa 0).

Có những phần kỳ diệu khác trong Hình 4-7: Chỉ mục Phần Đặc biệt.

Tại chỉ mục 0, SHT_NULL là bắt buộc. Có cách sử dụng nào khác cho việc này không: Mục SHT_NULL trong ELF có công dụng gì? ?

phần .data

Dữ liệu là phần 1:

00000080 01 00 00 00 01 00 00 00 03 00 00 00 00 00 00 00 | ................ | 00000090 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 | ................ | 000000a0 0d 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 | ................ | 000000b0 04 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 | ................ |

Ở đây, 1 nói rằng tên của phần này bắt đầu từ ký tự đầu tiên của phần này và kết thúc ở ký tự NUL đầu tiên, tạo nên string.data.

Dữ liệu là một trong những tên phần có ý nghĩa được xác định trước http://www.sco.com/developers/gabi/2003-12-17/ch4.strtab.html

Các phần này lưu trữ dữ liệu đã khởi tạo đóng góp vào hình ảnh bộ nhớ của chương trình.

• 80 4: sh_type = 01 00 00 00: SHT_PROGBITS: nội dung phần không được ELF chỉ định, chỉ do chương trình diễn giải nó. Không sao cả, kể từ một .data.

  80 8: sh_flags = 03 7x 00: SHF_ALLOC và SHF_EXECINSTR: http://www.sco.com/developers/gabi/2003-12-17/ch4.sheader.html#sh_flags, theo yêu cầu từ phần .data

  90 0: sh_addr = 8x 00: trong đó địa chỉ ảo mà phần sẽ được đặt trong thời gian chạy, 0 nếu không được đặt

  90 8: sh_offset = 00 02 00 00 00 00 00 00 = 0x200: số byte từ đầu chương trình đến byte đầu tiên trong phần này

  a0 0: sh_size = 0d 00 00 00 00 00 00 00

  Nếu chúng ta lấy byte 0xD, bắt đầu từ sh_offset 200, chúng ta thấy:

  00000200 48 65 6c 6c 6f 20 77 6f 72 6c 64 21 0a 00 | Hello world! .. |

  AHA! Vì vậy, chuỗi của chúng tôi "Xin chào thế giới!" nằm trong phần dữ liệu, như chúng tôi đã nói, nó nằm trên NASM.

  Khi chúng ta đã hoàn thành hd, chúng ta sẽ xem nó như thế này:

  Readelf -x .data hello_world.o

  kết quả đầu ra:

  Kết xuất hex của phần ".data": 0x00000000 48656c6c 6f20776f 726c6421 0a Hello world !.

  NASM đặt các thuộc tính phù hợp cho phần này vì nó đề cập đến .data một cách kỳ diệu: http://www.nasm.us/doc/nasmdoc7.html#section-7.9.2

  Cũng lưu ý rằng đây là phần lựa chọn sai: một trình biên dịch C tốt sẽ đặt dòng này ở dạng .rodata thay vì nó ở chế độ chỉ đọc và điều này sẽ cho phép tiếp tục tối ưu hóa hệ điều hành.

  a0 8: sh_link và sh_info = 8x 0: không áp dụng cho loại phần này. http://www.sco.com/developers/gabi/2003-12-17/ch4.sheader.html#special_silities

  b0 0: sh_addralign = 04 = TODO: tại sao cần căn chỉnh này? Có phải nó chỉ dành cho sh_addr và cả các ký tự bên trong sh_addr không?

  b0 8: sh_entsize = 00 = phần không chứa bảng. Nếu! = 0, điều này có nghĩa là phần này chứa một bảng các bản ghi có kích thước cố định. Trong tệp này, chúng ta có thể thấy từ đầu ra readelf rằng đây là trường hợp của các phần .symtab và .rela.text.

phần .text

Bây giờ chúng ta đã thực hiện một phần bằng tay, hãy hoàn thành và sử dụng bản thân -S của các phần khác.

Tên Loại Địa chỉ Chênh lệch Kích thước EntSize Cờ Liên kết Thông tin Liên kết Căn chỉnh [2] .text

Văn bản có thể thực thi nhưng không thể ghi: nếu chúng ta cố gắng viết mặc định Linux cho nó. Hãy xem nếu chúng ta thực sự có mã:

Obdump -d hello_world.o

Hello_world.o: định dạng tệp elf64-x86-64 Giải mã phần .text: 0000000000000000<_start>: 0: b8 01 00 00 00 mov $ 0x1,% eax 5: bf 01 00 00 00 mov $ 0x1,% edi a: 48 be 00 00 00 00 movabs $ 0x0,% rsi 11: 00 00 00 14: ba 0d 00 00 00 mov $ 0xd,% edx 19: 0f 05 syscall 1b: b8 3c 00 00 00 mov $ 0x3c,% eax 20: bf 00 00 00 00 mov $ 0x0,% edi 25: 0f 05 syscall

Nếu chúng ta có grep b8 01 00 00 trên hd, chúng ta thấy rằng nó chỉ xảy ra ở 00000210, đó là những gì phần này nói. Và kích thước là 27, cũng vừa vặn. Vì vậy, chúng ta phải nói về phần chính xác.

Điều này trông giống như mã chính xác: một lần viết theo sau là một lần thoát.

Phần thú vị nhất là dòng a, có:

Movabs $ 0x0,% rsi

chuyển địa chỉ của chuỗi vào lệnh gọi hệ thống. Hiện tại 0x0 chỉ là một trình giữ chỗ. Sau khi ràng buộc, nó sẽ thay đổi:

4000ba: 48 be d8 00 60 00 00 movabs $ 0x6000d8,% rsi

Có thể sửa đổi này do dữ liệu trong phần .rela.text.

SHT_STRTAB

Các phần có sh_type == SHT_STRTAB được gọi là bảng chuỗi.

Các phần như vậy được các phần khác sử dụng khi tên chuỗi được sử dụng. Phần Sử dụng cho biết:

• họ sử dụng dòng nào
• chỉ số trong bảng các hàng mục tiêu nơi hàng đó bắt đầu là gì

Vì vậy, ví dụ, chúng ta có thể có một bảng chuỗi chứa: TODO: chúng ta có nên bắt đầu bằng \ 0 không?

Dữ liệu: \ 0 a b c \ 0 d e f \ 0 Chỉ mục: 0 1 2 3 4 5 6 7 8

Và nếu phần khác muốn sử dụng chuỗi d e f thì họ phải trỏ đến chỉ số 5 của phần đó (chữ d).

Các bảng chuỗi đã biết:

• .shstrtab
• .strtab

.shstrtab

Loại phần: sh_type == SHT_STRTAB.

Tên thường gọi: dòng tiêu đề phần tiêu đề.

Tên phần.shstrtab được bảo lưu. Tiêu chuẩn cho biết:

Phần này chứa các tên phần.

Phần này chỉ định trường e_shstrnd của chính tiêu đề ELF.

Các chỉ số hàng của phần này được biểu thị bằng trường sh_name của tiêu đề phần biểu thị các hàng.

Phần này không chỉ định SHF_ALLOC, vì vậy nó sẽ không xuất hiện trong tệp thực thi.

Readelf -x .shstrtab hello_world.o

Kết xuất hệ thập lục phân của phần ".shstrtab": 0x00000000 002e6461 7461002e 74657874 002e7368 ..data..text..sh 0x00000010 73747274 6162002e 73796d74 6162002e strtab..symtab .. 0x00000020 73747e7465780061 strte 73747e746500.

Dữ liệu trong phần này ở định dạng cố định: http://www.sco.com/developers/gabi/2003-12-17/ch4.strtab.html

Nếu chúng ta nhìn vào các tên phần khác, chúng ta có thể thấy rằng tất cả chúng đều chứa số, ví dụ. phần .text được đánh số 7.

Sau đó, mỗi dòng kết thúc khi ký tự NUL đầu tiên được tìm thấy, ví dụ: ký tự 12 \ 0 ngay sau .text \ 0.

.symtab

Loại phần: sh_type == SHT_SYMTAB.

Tên thường gọi: bảng ký hiệu.

Đầu tiên hãy lưu ý rằng:

• sh_link = 5
• sh_info = 6

Trong phần SHT_SYMTAB, những con số này có nghĩa là:

• Dây
• cung cấp tên biểu tượng nằm trong phần 5, .strtab
• dữ liệu di dời nằm trong phần 6, .rela.text

Một công cụ cấp cao tốt để tháo gỡ phần này:

Nm hello_world.o

mang lại:

0000000000000000 T _start 0000000000000000 d hello_world 000000000000000d a hello_world_len

Tuy nhiên, đây là một biểu diễn cấp cao bỏ qua một số loại ký tự nhất định và biểu thị các ký tự. Phân tích chi tiết hơn có thể được lấy bằng cách sử dụng:

Readelf -s hello_world.o

mang lại:

Bảng ký hiệu ".symtab" có 7 mục nhập: Số: Loại kích thước giá trị Ràng buộc Vis Ndx Tên 0: 0000000000000000 0 NOTYPE LOCAL DEFAULT UND 1: 00000000000000 0 FILE LOCAL DEFAULT ABS hello_world.asm 2: 0000000000000000 0 PHẦN ĐỊNH VỊ ĐỊA PHƯƠNG 1 3: 00000000000000 _

Định dạng nhị phân của bảng được ghi lại tại http://www.sco.com/developers/gabi/2003-12-17/ch4.symtab.html

Readelf -x .symtab hello_world.o

Đưa cái gì:

Kết xuất hex của phần ".symtab": 0x00000000 00000000 00000000 00000000 00000000 ................ 0x00000010 00000000 00000000 01000000 0400f1ff ................ . 0x00000020 00000000 000000 00000000 00000000 ................ 0x00000030 00000000 000000 00000000 000000 ................ ........ 0x00000050 00000000 00000000 00000000 00000000 ...... 0x00000070 00000000 00000000 1d000000 0000f1ff ................ 0x00000080 0d000000 00000000 00000000 00000000 ..... ........... 0x00000090 2d000000 10000200 00000000 00000000 -............. 0x000000a0 00000000 00000000 ........

Các mục nhập thuộc loại:

Typedef struct (Elf64_Word st_name; unsigned char st_info; unsigned char st_other; Elf64_Half st_shndx; Elf64_Addr st_value; Elf64_Xword st_size;) Elf64_Sym;

Giống như bảng phân vùng, mục nhập đầu tiên là ma thuật và được đặt thành các giá trị vô nghĩa cố định.

Mục 1 có ELF64_R_TYPE == STT_FILE. ELF64_R_TYPE tiếp tục bên trong st_info.

Phân tích byte:

10 8: st_name = 01000000 = ký tự 1 trong .strtab, cho đến ký tự 0 tiếp theo hello_world.asm

Trình liên kết có thể sử dụng phân đoạn này của tệp thông tin để xác định phân đoạn nào của phân đoạn sắp tới.

10 12: st_info = 04

Bits 0-3 = ELF64_R_TYPE = Type = 4 = STT_FILE: Mục đích chính của mục này là sử dụng st_name để chỉ định tên của tệp được tạo bởi tệp đối tượng này.

Bit 4-7 = ELF64_ST_BIND = Ràng buộc = 0 = STB_LOCAL. Giá trị bắt buộc cho STT_FILE.

10 13: st_shndx = Bảng ký hiệu Bảng tiêu đề Chỉ mục = f1ff = SHN_ABS. Bắt buộc đối với STT_FILE.

20 0: st_value = 8x 00: bắt buộc đối với giá trị cho STT_FILE

20 8: st_size = 8x 00: không có kích thước được phân bổ

Bây giờ, chúng tôi nhanh chóng giải thích phần còn lại.

STT_SECTION

Có hai phần tử như vậy, một phần tử trỏ tới .data và phần tử kia trỏ tới .text (chỉ mục phần 1 và 2).

Số: Kích thước giá trị Loại Ràng buộc Vis Ndx Tên 2: 0000000000000000 0 PHẦN ĐỊNH VỊ ĐỊA PHƯƠNG 1 3: 0000000000000000 0 PHẦN ĐỊNH VỊ ĐỊA PHƯƠNG 2

QUÁ, mục đích của họ là gì?

STT_NOTYPE

Sau đó nhập các ký tự quan trọng nhất:

Num: Loại kích thước giá trị Ràng buộc Vis Ndx Tên 4: 0000000000000000 0 NOTYPE LOCAL DEFAULT 1 hello_world 5: 000000000000000d 0 NOTYPE LOCAL DEFAULT ABS hello_world_len 6: 0000000000000000 bắt đầu NOTYPE GLOBAL _ Chuỗi 2

hello_world nằm trong phần .data (chỉ mục 1). Giá trị này là 0: nó trỏ đến byte đầu tiên của phần này.

Bắt đầu được đánh dấu bằng khả năng hiển thị TOÀN CẦU, như chúng tôi đã viết:

global_start

tại NASM. Điều này là cần thiết vì nó phải được coi là một điểm vào. Không giống như C, các nhãn NASM là cục bộ theo mặc định.

hello_world_len trỏ đến st_shndx đặc biệt == SHN_ABS == 0xF1FF.

0xF1FF được chọn để không xung đột với các phần khác.

st_value == 0xD == 13, là giá trị mà chúng tôi đã lưu trữ ở đó trên assembly: độ dài của chuỗi Hello World! .

Điều này có nghĩa là việc di chuyển sẽ không ảnh hưởng đến giá trị này: nó là một hằng số.

Đây là một tối ưu hóa nhỏ mà trình lắp ráp của chúng tôi thực hiện cho chúng tôi và có sự hỗ trợ của ELF.

Nếu chúng tôi sử dụng địa chỉ hello_world_len ở bất kỳ đâu, trình hợp dịch sẽ không đánh dấu nó là SHN_ABS và trình liên kết sẽ có thêm một lần di dời sau đó.

SHT_SYMTAB trong tệp thực thi

Theo mặc định, NASM đặt .symtab trong tệp thực thi.

Điều này chỉ được sử dụng để gỡ lỗi. Không có biểu tượng, chúng ta hoàn toàn mù tịt và phải thiết kế lại mọi thứ.

Bạn có thể xóa nó bằng objcopy và tệp thực thi sẽ vẫn hoạt động. Các tệp thực thi như vậy được gọi là tệp thực thi phân tách.

.strtab

Giữ chuỗi cho bảng ký tự.

Trong phần này, sh_type == SHT_STRTAB.

Trỏ tới sh_link == 5 của phần .symtab.

Readelf -x .strtab hello_world.o

Kết xuất hệ thập lục phân của phần ".strtab": 0x00000000 0068656c 6c6f5f77 6f726c64 2e61736d .hello_world.asm 0x00000010 0068656c 6c6f5f77 6f726c64 0068656c .hello_world.hel 0x0000004 6f6f700170017400 nghệ thuật 6f6f700170027400

Điều này có nghĩa là đó là một hạn chế ở mức ELF mà các biến toàn cục không được chứa các ký tự NUL.

.rela.text

Loại phần: sh_type == SHT_RELA.

Tên thường gọi: phần di chuyển.

Rela.text chứa dữ liệu tái định cư chỉ định cách địa chỉ sẽ được thay đổi khi tệp thực thi cuối cùng được liên kết. Điều này cho biết các byte của vùng văn bản sẽ được thay đổi khi liên kết xảy ra với các vị trí bộ nhớ chính xác.

Về cơ bản, nó chuyển đổi văn bản đối tượng có chứa địa chỉ trình giữ chỗ 0x0:

A: 48 là 00 00 00 00 00 movabs $ 0x0,% rsi 11:00 00 00

đến mã thực thi thực tế có chứa 0x6000d8 cuối cùng:

4000ba: 48 be d8 00 60 00 00 movabs $ 0x6000d8,% rsi 4000c1: 00 00 00

Sh_info = 6 của phần .symtab đã được chỉ định.

readelf -r hello_world.o cung cấp:

Phần chuyển vị trí ".rela.text" tại offset 0x3b0 chứa 1 mục: Offset Info Type Sym. Giá trị Sym. Tên + Phụ lục 00000000000c 000200000001 R_X86_64_64 0000000000000000 .data + 0

Phần không tồn tại trong tệp thực thi.

Số byte thực tế:

00000370 0c 00 00 00 00 00 00 00 01 00 00 00 02 00 00 00 | ................ | 00000380 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 | ................ |

Cấu trúc đại diện:

Typedef struct (Elf64_Addr r_offset; Elf64_Xword r_info; Elf64_Sxword r_addend;) Elf64_Rela;

370 0: r_offset = 0xC: address to address.text có địa chỉ sẽ được thay đổi

370 8: r_info = 0x200000001. Chứa 2 trường:

• ELF64_R_TYPE = 0x1: Giá trị phụ thuộc vào kiến ​​trúc chính xác.
• ELF64_R_SYM = 0x2: Chỉ mục của phân vùng được trỏ đến bởi địa chỉ, do đó .data, nằm ở chỉ mục 2.

AMD64 ABI cho biết loại 1 được gọi là R_X86_64_64 và nó đại diện cho hoạt động S + A trong đó:

• S: giá trị của biểu tượng trong tệp đối tượng, ở đây là 0 vì chúng tôi đang trỏ đến 00 00 00 00 00 00 00 00 từ movabs $ 0x0,% rsi
• a: phần bổ sung có trong trường r_added

Địa chỉ này được thêm vào phân vùng nơi quá trình di chuyển đang diễn ra.

Thao tác di chuyển này hoạt động trên 8 byte.

380 0: r_addend = 0

Do đó, trong ví dụ của chúng tôi, chúng tôi kết luận rằng địa chỉ mới sẽ là: S + A = .data + 0, và do đó là địa chỉ đầu tiên trong phần dữ liệu.

Bảng Tiêu đề Chương trình

Chỉ hiển thị trong tệp thực thi.

Chứa thông tin về cách tệp thực thi sẽ được đặt trong bộ nhớ ảo của quy trình.

Tệp thực thi được tạo bởi tệp đối tượng trình liên kết. Các tác vụ chính mà trình liên kết thực hiện:

xác định phần nào của tệp đối tượng đi vào phần nào của tệp thực thi.

Trong Binutils, nó đi đến việc phân tích cú pháp tập lệnh trình tạo và làm việc với rất nhiều giá trị mặc định.

Bạn có thể lấy tập lệnh trình liên kết được sử dụng với ld --verbose và cài đặt tập lệnh tùy chỉnh với ld -T.

điều hướng qua các phần văn bản. Nó phụ thuộc vào cách nhiều phân vùng phù hợp với bộ nhớ.

readelf -l hello_world.out cung cấp:

Elf file type is EXEC (Executable file) Entry point 0x4000b0 There are 2 program headers, starting at offset 64 Program Headers: Type Offset VirtAddr PhysAddr FileSiz MemSiz Flags Align LOAD 0x0000000000000000 0x0000000000400000 0x0000000000400000 0x00000000000000d7 0x00000000000000d7 R E 200000 LOAD 0x00000000000000d8 0x00000000006000d8 0x00000000006000d8 0x000000000000000d 0x000000000000000d RW 200000 Section tới ánh xạ phân đoạn: Phân đoạn các phần ... 00 .text 01 .data

Trong tiêu đề ELF e_phoff, e_phnum và e_phentsize cho chúng tôi biết rằng có 2 tiêu đề chương trình bắt đầu ở 0x40 và mỗi tiêu đề là 0x38 byte, vì vậy chúng là:

00000040 01 00 00 00 05 00 00 00 00 00 00 00 00 00 00 00 |................| 00000050 00 00 40 00 00 00 00 00 00 00 40 00 00 00 00 00 |[email được bảo vệ]@ ..... | 00000060 d7 00 00 00 00 00 00 00 00 d7 00 00 00 00 00 00 00 | ................ | 00000070 00 00 20 00 00 00 00 00 | .. ..... |

00000070 01 00 00 00 06 00 00 00 | ........ | 00000080 d8 00 00 00 00 00 00 00 00 d8 00 60 00 00 00 00 00 | .......... `..... | 00000090 d8 00 60 00 00 00 00 00 0d 00 00 00 00 00 00 00 | ..` ............. | 000000a0 0d 00 00 00 00 00 00 00 00 00 00 20 00 00 00 00 00 | .......... ..... | typedef struct (Elf64_Word p_type; Elf64_Word p_flags; Elf64_Off p_offset; Elf64_Addr p_vaddr; Elf64_Addr p_paddr; Elf64_Xword p_filesz; Elf64_Xword p_memsz; Elf64Phdr)

Sự cố của phần đầu tiên:

• 40 0: p_type = 01 00 00 00 = PT_LOAD: TODO. Tôi nghĩ điều này có nghĩa là nó sẽ được tải vào bộ nhớ. Các loại khác có thể không nhất thiết phải như vậy.
• 40 4: p_flags = 05 00 00 00 = quyền thực thi và đọc, không ghi TODO
• 40 8: p_offset = 8x 00 VIỆC CẦN LÀM: đây là gì? Có vẻ như sự chênh lệch so với đầu các phân đoạn. Nhưng điều đó có nghĩa là một số phân đoạn được đan xen vào nhau? Bạn có thể chơi với nó một chút: gcc -Wl, -Ttext-segment = 0x400030 hello_world.c
• 50 0: p_vaddr = 00 00 40 00 00 00 00 00: bắt đầu địa chỉ bộ nhớ ảo để tải phân đoạn này vào
• 50 8: p_paddr = 00 00 40 00 00 00 00 00: địa chỉ vật lý bắt đầu tải vào bộ nhớ. Chỉ các câu hỏi dành cho các hệ thống mà chương trình có thể đặt địa chỉ vật lý. Nếu không, như với hệ thống System V, bất cứ điều gì có thể xảy ra. Có vẻ như NASM sẽ chỉ sao chép p_vaddrr
• 60 0: p_filesz = d7 00 00 00 00 00 00 00: VIỆC LÀM vs p_memsz
• 60 8: p_memsz = d7 00 00 00 00 00 00 00: VIỆC CẦN LÀM
• 70 0: p_align = 00 00 20 00 00 00 00 00: 0 hoặc 1 có nghĩa là không cần căn chỉnh CẦN LÀM, điều đó có nghĩa là gì? nếu không thì dư thừa với các trường khác

Thứ hai cũng tương tự.

Ánh xạ phần tới phân đoạn:

phần tự đọc cho chúng ta biết rằng:

• 0 - segment.text. Đúng vậy, đó là lý do tại sao nó có thể thực thi và không thể ghi.
• 1 - phân đoạn. Dữ liệu.