ELF学习

Posted fellow_jing

tags:

篇首语:本文由小常识网(cha138.com)小编为大家整理,主要介绍了ELF学习相关的知识,希望对你有一定的参考价值。

add.c

int data = 1;
int bss;
const int rodata = 1;
int add(int num1, int num2)
{
  int sum = 0;
  sum = num1 + num2;
  return sum;
}

编译add.c成.o文件

gcc -c add.c(-c表示只编译不链接)

file add.o输出结果如下:

此结果表明add.o是个重定位文件。

查看elf header可查看到更详细信息:readelf -h add.o

由于是重定位文件,ELF中并没有program header,entry point为0x0, section header的字符串表在section 中的索引为9(在下面的section header中对应.shstrtable section).ELF header的size为52. 有12个section,每个section header的 size为40。

重定位文件的ELF格式的布局如下。

 

通过readelf -S add.o 查看section header。

 

Off这一列是表示section在ELF文件中的偏移量,.text的偏移量是0x34,转换成十进制正好是52(ELF header大小),说明header后面紧接着是.text。

.text内容可以通过objdump来查看:objdump -s -d add.o(-s表示将内容以16进制打印出来,-d表示反汇编)

.text只包含add函数,其大小为0x1d.

 

.data保存了初始化了的全局变量和静态变量。在add.c中.data只包含data这一个int型变量,所以其size为4。

.data的偏移量为0x34+0x1d=0x51,由于.data是4字节对其的,所以offset为0x54.

.rodata保存的是只读变量(如const修饰)和字符串常量。在add.c中只读变量为int型,大小为4.

 

.bss保存的是未初始化的全局变量和局部静态变量。按道理int bss是应该存在.bss段中,但是.bss的size是0.这其实与编译器相关,有些编译器并不会将未初始化的全局变量放在.bss中,只是预留一个未定义的全局变量符号,等到最终链接成可执行文件的时候再分配.bss分配空间。这与强符号和弱符号相关。

 

我们在通过readelf -s add.o看一下ELF的符号表:

其中我们看到符号的value大部分是0;如果符号是函数和变量,那么符号的value就是函数和变量的地址。

符号的value分为以下几种情况:

1.如果ELF文件是目标文件,符号不是“COMMON”类型,函数和变量的地址是不确定的,要等到链接后才知道,所以value值是符号其所在section中的偏移。

2.如果ELF文件是目标文件,符号是“COMMON”类型的,value表示该符号的对其属性。

3.如果ELF文件是可执行文件,value是符号的虚拟地址。

 

add符号是在代码段,所以Ndx项是1,从前面的section header可一看到.text的下标正好是1.其他符号如data,rodata以此类推。

其中名字没有显示,type是SECTION的符号,表示下标为Ndx段的section名字。比如Num 2的Ndx为1,那么他表示.text section名称,即".text".可以通过objdump -t查看符号表,可以获取所有符号名,即其说在的section名字。

 

我们在写一个简单的程序,准备调用add.c中的add函数,

#include <stdio.h>
int main()
{
  int sum = add(1,2);
  printf("sum is: %d\\n", sum);
  return 0;
}

gcc -c main.c

查看section header:

多了一个section .rel.text,说明.text中有需要重定位的部分。

查看符号表和重定位表:

readelf -s main.o

 重定位表:objdump -r main.o

符号add和printf是undefined,需要重定位以确定地址。

add和printff分别在main.o的0x19和0x31的位置需要重新定位。

objdump -d main.o反编译一下:

sum和printf的指令码都为e8 fc ff ff ff.

e8是call的指令码,通过file命令可以看出main.o是小端,所以在重定位前sum和printf的地址均为0xfffffffc,他是常量-4的补码。

我们再将main.c和add.c静态链接起来,

gcc main.c add.c -o test

可以看到形成可执行文件后,main.o中调用add函数的地址被重新修正。

现在的add函数的指令码为e8 1f 00 00 00;

R_386_PC32是相对寻址。对于需要重定位的符号,他修正后的结果为S+A-P.

S是add的实际地址0x08048459

A是修正前的值0xfffffffc,即-4;

P是需要修正的位置,当链接成可执行文件后,这个值是被修正位置的虚拟地址。0x804841d +0x19;

0x8048459-4 -(0x804841d+0x19) = 0x1f 与上述修正后的指令码“e8 0x1f 00 00 00”对应。

 在重定位表中,我们还可以看到有个R_386_32类型的重定位项。

R_386_32是绝对寻址方式,其修正后的值是S+A.

S为符号的实际地址,A是被修正的位置。

对于.rodata这个需要重新定位的项,是printf中的常量字符串。S为0x000000

我们查看可执行文件的16进制内容,objdump -x test

那么修正后的值即为0x8048510

以上是关于ELF学习的主要内容,如果未能解决你的问题,请参考以下文章

小梅哥SOPC学习笔记sof与NIOS II的elf固件合并jic得到文件

C++学习(四五九)pe elf coff

C++学习(三九五)ELF类型文件

readelf源码学习

GNU工具链学习笔记

Linux内存从0到1学习笔记(七,用户空间虚拟内存之二 - 内存空间的建立)