Android 逆向ELF 文件格式 ( 程序头数据 | 节区头数据 | 动态符号表 )

Posted 2021-11-24 韩曙亮

文章目录

• 一、程序头数据
• 二、节区头数据
• 三、动态符号表

一、程序头数据

---

在上一篇博客 【Android 逆向】ELF 文件格式 ( ELF 程序头入口大小 | ELF 程序头入口个数 | ELF 文件节区头入口大小 | ELF 文件节区头入口个数 | 字符表序号 ) 中 , 分析到该 ELF 文件的程序头有 7 个入口 , 每个入口大小 32 字节 ;

这 7 个程序头入口 , 分别有不同的作用 , 如 :

• 程序头本身信息
• 加载
• 动态库相关信息
• GNU 编译器相关信息

二、节区头数据

---

节区头数据中 , 有 21 个入口 , 每个入口各有 40 字节 , 分别代表不同的功能 ;

• SHN_UNDEF : 未定义的保留区域 , 所有的 ELF 都有该区域 , 一些加固软件会抹掉该区域数据 , 导致解析 ELF 文件时 无法找到 后面的 代码 , 符号 等节区数据 , 在运行时在将该区域添加上去 ;
• .text : 代码数据 ;
• .plt : 引用的外部的库 ;
• .got : 全局符号表 , 包含导入导出数据 ; 重要的符号信息 ( 函数 , 全局变量 ) , 都在该数据区域中 ;
• .data : 数据段 ;
• .bss : BSS 段 ;
• .comment : 注释 ;
• .shstrtab : 字符串表 ;

由下图可以看出 , 节区头 数据 在 ELF 文件的 末尾 位置 ;

三、动态符号表

---

动态符号表示导入导出的符号数据 ;

下图中 , 不带 [U] 的项目 是导出的符号 , 是本函数库向外提供的 ; 带 [U] 的符号是导入的符号 ;