ART世界探险(12) - OAT文件分析(2) - ELF文件头分析(中)

ART世界探险(12) - OAT文件分析(2) - ELF文件头分析(中)

段(section)的概念

一块内存分配给应用程序之后,从代码的组织上,我们就有将它们分段的需求。
比如,可以分为代码段,数据段,只读数据段,堆栈段,未初始化的数据段等等。

在GAS汇编器中,我们通过.section伪指令来指定段名。ARM编译器我买不起,我就忽略它了。

标准section

段的描述 默认段名
代码段 .text
经过初始化的数据段 .data
未经初始化的数据段 .bss

BSS是Block Started by Symbol的缩写,就是为符号预留一些空间。

为什么要将指令段和数据段分开呢?这要从冯.诺依曼结构和哈佛结构说起。
诺依曼结构是指令和数据都存在同一个存储器上,比如Intel的8086,MIPS,ARM7都是这样的结构。因为指令和数据都要走同一条总线,所以会产生一些竞争。

与此相对,将指令存储和数据存储分开,这就是哈佛结构。从ARM9开始,ARM芯片就是哈佛结构了。它们各走各自的总线,各有各的cache,可以提高命中率。

即使在诺依曼结构下,通常也是将代码和指令存放在同一存储器的不同区域。

section示例

我们找一个gcc -S生成的汇编来看一下:
源码就用俗到不能再俗的hello,world的例子:

#include <cstdio>
int main(){
        printf("Hello,Word!\n");
}

生成的汇编如下:

        .file   "hello.cc"
        .section        .rodata
.LC0:
        .string "Hello,Word!"
        .text
        .globl  main
        .type   main, @function
main:
.LFB0:
        .cfi_startproc
        pushq   %rbp
        .cfi_def_cfa_offset 16
        .cfi_offset 6, -16
        movq    %rsp, %rbp
        .cfi_def_cfa_register 6
        movl    $.LC0, %edi
        call    puts
        movl    $0, %eax
        popq    %rbp
        .cfi_def_cfa 7, 8
        ret
        .cfi_endproc
.LFE0:
        .size   main, .-main
        .ident  "GCC: (Ubuntu/Linaro 4.6.3-1ubuntu5) 4.6.3"
        .section        .note.GNU-stack,"",@progbits

像.text,.data和.bss这样的标准段直接就是伪指令,不用再加.section了。
而像本例这样,将字符串放到.rodata这样的区域中,就需要加.section伪指令来声明一下。
.rodata可以对应C++的const关键字,为常量专门区分一个区域。

GCC生成的section知多少

我们通过用objdump -h命令来查看我们刚才的helloworld代码被编译成多少个段。打出来一看,还真不少,一共有26个。

a.out:     file format elf64-x86-64

Sections:
Idx Name          Size      VMA               LMA               File off  Algn
  0 .interp       0000001c  0000000000400238  0000000000400238  00000238  2**0
                  CONTENTS, ALLOC, LOAD, READONLY, DATA
  1 .note.ABI-tag 00000020  0000000000400254  0000000000400254  00000254  2**2
                  CONTENTS, ALLOC, LOAD, READONLY, DATA
  2 .note.gnu.build-id 00000024  0000000000400274  0000000000400274  00000274  2**2
                  CONTENTS, ALLOC, LOAD, READONLY, DATA
  3 .gnu.hash     0000001c  0000000000400298  0000000000400298  00000298  2**3
                  CONTENTS, ALLOC, LOAD, READONLY, DATA
  4 .dynsym       00000060  00000000004002b8  00000000004002b8  000002b8  2**3
                  CONTENTS, ALLOC, LOAD, READONLY, DATA
  5 .dynstr       0000003d  0000000000400318  0000000000400318  00000318  2**0
                  CONTENTS, ALLOC, LOAD, READONLY, DATA
  6 .gnu.version  00000008  0000000000400356  0000000000400356  00000356  2**1
                  CONTENTS, ALLOC, LOAD, READONLY, DATA
  7 .gnu.version_r 00000020  0000000000400360  0000000000400360  00000360  2**3
                  CONTENTS, ALLOC, LOAD, READONLY, DATA
  8 .rela.dyn     00000018  0000000000400380  0000000000400380  00000380  2**3
                  CONTENTS, ALLOC, LOAD, READONLY, DATA
  9 .rela.plt     00000030  0000000000400398  0000000000400398  00000398  2**3
                  CONTENTS, ALLOC, LOAD, READONLY, DATA
 10 .init         00000018  00000000004003c8  00000000004003c8  000003c8  2**2
                  CONTENTS, ALLOC, LOAD, READONLY, CODE
 11 .plt          00000030  00000000004003e0  00000000004003e0  000003e0  2**4
                  CONTENTS, ALLOC, LOAD, READONLY, CODE
 12 .text         000001d8  0000000000400410  0000000000400410  00000410  2**4
                  CONTENTS, ALLOC, LOAD, READONLY, CODE
 13 .fini         0000000e  00000000004005e8  00000000004005e8  000005e8  2**2
                  CONTENTS, ALLOC, LOAD, READONLY, CODE
 14 .rodata       00000010  00000000004005f8  00000000004005f8  000005f8  2**2
                  CONTENTS, ALLOC, LOAD, READONLY, DATA
 15 .eh_frame_hdr 0000002c  0000000000400608  0000000000400608  00000608  2**2
                  CONTENTS, ALLOC, LOAD, READONLY, DATA
 16 .eh_frame     000000a4  0000000000400638  0000000000400638  00000638  2**3
                  CONTENTS, ALLOC, LOAD, READONLY, DATA
 17 .ctors        00000010  0000000000600e28  0000000000600e28  00000e28  2**3
                  CONTENTS, ALLOC, LOAD, DATA
 18 .dtors        00000010  0000000000600e38  0000000000600e38  00000e38  2**3
                  CONTENTS, ALLOC, LOAD, DATA
 19 .jcr          00000008  0000000000600e48  0000000000600e48  00000e48  2**3
                  CONTENTS, ALLOC, LOAD, DATA
 20 .dynamic      00000190  0000000000600e50  0000000000600e50  00000e50  2**3
                  CONTENTS, ALLOC, LOAD, DATA
 21 .got          00000008  0000000000600fe0  0000000000600fe0  00000fe0  2**3
                  CONTENTS, ALLOC, LOAD, DATA
 22 .got.plt      00000028  0000000000600fe8  0000000000600fe8  00000fe8  2**3
                  CONTENTS, ALLOC, LOAD, DATA
 23 .data         00000010  0000000000601010  0000000000601010  00001010  2**3
                  CONTENTS, ALLOC, LOAD, DATA
 24 .bss          00000010  0000000000601020  0000000000601020  00001020  2**3
                  ALLOC
 25 .comment      0000002a  0000000000000000  0000000000000000  00001020  2**0
                  CONTENTS, READONLY

好吧,不是每种语言都这么疯狂的,我们看看Go语言生成的段:

除了debug相关的,只有8个段,比GCC还是简单一些的。

main:     file format elf64-x86-64

Sections:
Idx Name          Size      VMA               LMA               File off  Algn
  0 .text         0000fb00  0000000000400c00  0000000000400c00  00000c00  2**3
                  CONTENTS, ALLOC, LOAD, READONLY, CODE
  1 .rodata       000073b0  0000000000410700  0000000000410700  00010700  2**3
                  CONTENTS, ALLOC, LOAD, READONLY, DATA
  2 .gosymtab     0000ad5c  0000000000417ab0  0000000000417ab0  00017ab0  2**3
                  CONTENTS, ALLOC, LOAD, READONLY, DATA
  3 .gopclntab    00002248  0000000000422810  0000000000422810  00022810  2**3
                  CONTENTS, ALLOC, LOAD, READONLY, DATA
  4 .noptrdata    00000008  0000000000425000  0000000000425000  00025000  2**3
                  CONTENTS, ALLOC, LOAD, DATA
  5 .data         000022b0  0000000000425008  0000000000425008  00025008  2**3
                  CONTENTS, ALLOC, LOAD, DATA
  6 .bss          00011830  00000000004272b8  00000000004272b8  000272b8  2**3
                  ALLOC
  7 .noptrbss     02009a38  0000000000438ae8  0000000000438ae8  00038ae8  2**3
                  ALLOC
  8 .debug_abbrev 000000cc  0000000000000000  0000000000000000  0002c93a  2**0
                  CONTENTS, READONLY, DEBUGGING
  9 .debug_line   00004868  0000000000000000  0000000000000000  0002ca06  2**0
                  CONTENTS, READONLY, DEBUGGING
 10 .debug_frame  00003240  0000000000000000  0000000000000000  0003126e  2**0
                  CONTENTS, READONLY, DEBUGGING
 11 .debug_info   00008828  0000000000000000  0000000000000000  000344ae  2**0
                  CONTENTS, READONLY, DEBUGGING
 12 .debug_pubnames 00001dd3  0000000000000000  0000000000000000  0003ccd6  2**0
                  CONTENTS, READONLY, DEBUGGING
 13 .debug_pubtypes 00000ae0  0000000000000000  0000000000000000  0003eaa9  2**0
                  CONTENTS, READONLY, DEBUGGING
 14 .debug_aranges 00000630  0000000000000000  0000000000000000  0003f589  2**0
                  CONTENTS, READONLY, DEBUGGING
 15 .debug_gdb_scripts 0000002c  0000000000000000  0000000000000000  0003fbb9  2**0
                  CONTENTS, READONLY, DEBUGGING

OAT都有些什么section

幸好,OAT的section比C++的还要少一些。主要的段有14个。
一个指令段,7个只读的数据段,6个调试用的段。

base.odex:     file format elf64-littleaarch64

Sections:
Idx Name          Size      VMA               LMA               File off  Algn
  0 .dynsym       00000060  0000000000000200  0000000000000200  00000200  2**3
                  CONTENTS, ALLOC, LOAD, READONLY, DATA
  1 .dynstr       00000027  0000000000000260  0000000000000260  00000260  2**0
                  CONTENTS, ALLOC, LOAD, READONLY, DATA
  2 .hash         00000020  0000000000000288  0000000000000288  00000288  2**2
                  CONTENTS, ALLOC, LOAD, READONLY, DATA
  3 .rodata       0030f000  0000000000001000  0000000000001000  00001000  2**12
                  CONTENTS, ALLOC, LOAD, READONLY, DATA
  4 .text         003c9424  0000000000310000  0000000000310000  00310000  2**12
                  CONTENTS, ALLOC, LOAD, READONLY, CODE
  5 .dynamic      00000070  00000000006da000  00000000006da000  006da000  2**12
                  CONTENTS, ALLOC, LOAD, READONLY, DATA
  6 .eh_frame     000869b0  00000000006db000  00000000006db000  0084d000  2**12
                  CONTENTS, ALLOC, LOAD, READONLY, DATA
  7 .eh_frame_hdr 00016744  00000000007619b0  00000000007619b0  008d39b0  2**2
                  CONTENTS, ALLOC, LOAD, READONLY, DATA
  8 .debug_info   000427a1  0000000000000000  0000000000000000  008ea0f4  2**0
                  CONTENTS, READONLY, DEBUGGING
  9 .debug_info.oat_patches 00006028  0000000000000000  0000000000000000  0092c895  2**0
                  CONTENTS, READONLY, DEBUGGING
 10 .debug_abbrev 000055bf  0000000000000000  0000000000000000  009328bd  2**0
                  CONTENTS, READONLY, DEBUGGING
 11 .debug_str    001328d8  0000000000000000  0000000000000000  00937e7c  2**0
                  CONTENTS, READONLY, DEBUGGING
 12 .debug_line   00038d42  0000000000000000  0000000000000000  00a6a754  2**0
                  CONTENTS, READONLY, DEBUGGING
 13 .debug_line.oat_patches 00000583  0000000000000000  0000000000000000  00aa3496  2**0
                  CONTENTS, READONLY, DEBUGGING

section的类型

从上面列出的信息可以看到,段是有自己的类型的,而且还有对应的如可写,只读,可执行等属性。

段的类型

常量 含义
SHT_NULL 0 无效段
SHT_PROGBITS 1 程序段
SHT_SYMTAB 2 符号表
SHT_STRTAB 3 字符串表
SHT_RELA 4 重定位表
SHT_HASH 5 符号表的哈希表
SHT_DYNAMIC 6 动态链接信息
SHT_NOTE 7 提示性信息,注释
SHT_NOBITS 8 无内容,如未初始化的.bss段
SHT_REL 9 重定位信息
SHT_SHLIB 10 RFU
SHT_DYNSYM 11 动态链接的符号表

段的属性

段的标志位

常量 含义
SHF_WRITE 1 可写
SHF_ALLOC 2 需要分配空间,有些段并不需要,而.code,.bss,.data这些都需要分配空间
SHF_EXEINSTR 4 可执行,一般只有.code段才有这个属性

下面我们学以致用,通过readelf -S看看OAT文件的段的类型和属性:

带A的是SHF_ALLOC属性,X是可执行属性。连同符号表、字符串表,空字段等字段,一共有18个字段。

There are 18 section headers, starting at offset 0xaa3ae0:

Section Headers:
  [Nr] Name              Type             Address           Offset
       Size              EntSize          Flags  Link  Info  Align
  [ 0]                   NULL             0000000000000000  00000000
       0000000000000000  0000000000000000           0     0     0
  [ 1] .dynsym           DYNSYM           0000000000000200  00000200
       0000000000000060  0000000000000018   A       2     0     8
  [ 2] .dynstr           STRTAB           0000000000000260  00000260
       0000000000000027  0000000000000000   A       0     0     1
  [ 3] .hash             HASH             0000000000000288  00000288
       0000000000000020  0000000000000004   A       1     0     4
  [ 4] .rodata           PROGBITS         0000000000001000  00001000
       000000000030f000  0000000000000000   A       0     0     4096
  [ 5] .text             PROGBITS         0000000000310000  00310000
       00000000003c9424  0000000000000000  AX       0     0     4096
  [ 6] .dynamic          DYNAMIC          00000000006da000  006da000
       0000000000000070  0000000000000010   A       2     0     4096
  [ 7] .symtab           SYMTAB           0000000000000000  006da070
       00000000000435c0  0000000000000018           8     0     8
  [ 8] .strtab           STRTAB           0000000000000000  0071d630
       000000000012f609  0000000000000000           0     0     1
  [ 9] .eh_frame         PROGBITS         00000000006db000  0084d000
       00000000000869b0  0000000000000000   A       0     0     4096
  [10] .eh_frame_hdr     PROGBITS         00000000007619b0  008d39b0
       0000000000016744  0000000000000000   A       0     0     4
  [11] .debug_info       PROGBITS         0000000000000000  008ea0f4
       00000000000427a1  0000000000000000           0     0     1
  [12] .debug_info.oat_p LOUSER+0         0000000000000000  0092c895
       0000000000006028  0000000000000000           0     0     1
  [13] .debug_abbrev     PROGBITS         0000000000000000  009328bd
       00000000000055bf  0000000000000000           0     0     1
  [14] .debug_str        PROGBITS         0000000000000000  00937e7c
       00000000001328d8  0000000000000000           0     0     1
  [15] .debug_line       PROGBITS         0000000000000000  00a6a754
       0000000000038d42  0000000000000000           0     0     1
  [16] .debug_line.oat_p LOUSER+0         0000000000000000  00aa3496
       0000000000000583  0000000000000000           0     0     1
  [17] .shstrtab         STRTAB           0000000000000000  00aa3a19
       00000000000000c1  0000000000000000           0     0     1
Key to Flags:
  W (write), A (alloc), X (execute)

segment

上面我们了解了section,这是针对ELF文件中的组织单元。下面我们讨论另一个概念叫做segment。

将section映射到内存中时,为了节省空间,我们可以将相同类型和属性的section放在一起。因为section很多,每个都占用整个页面的话会导致页的浪费,而合到一起则只需要每个segment占满整页就可以了。

我们通过readelf -l参数可以查看segment的分配情况,如下例:

Elf file type is DYN (Shared object file)
Entry point 0x0
There are 7 program headers, starting at offset 64

Program Headers:
  Type           Offset             VirtAddr           PhysAddr
                 FileSiz            MemSiz              Flags  Align
  PHDR           0x0000000000000040 0x0000000000000040 0x0000000000000040
                 0x0000000000000188 0x0000000000000188  R      8
  LOAD           0x0000000000000000 0x0000000000000000 0x0000000000000000
                 0x0000000000310000 0x0000000000310000  R      1000
  LOAD           0x0000000000310000 0x0000000000310000 0x0000000000310000
                 0x00000000003c9424 0x00000000003c9424  R E    1000
  LOAD           0x00000000006da000 0x00000000006da000 0x00000000006da000
                 0x0000000000000070 0x0000000000000070  RW     1000
  DYNAMIC        0x00000000006da000 0x00000000006da000 0x00000000006da000
                 0x0000000000000070 0x0000000000000070  RW     1000
  LOAD           0x000000000084d000 0x00000000006db000 0x00000000006db000
                 0x000000000009d0f4 0x000000000009d0f4  R      1000
  GNU_EH_FRAME   0x00000000008d39b0 0x00000000007619b0 0x00000000007619b0
                 0x0000000000016744 0x0000000000016744  R      4

 Section to Segment mapping:
  Segment Sections...
   00     
   01     .dynsym .dynstr .hash .rodata 
   02     .text 
   03     .dynamic 
   04     .dynamic 
   05     .eh_frame .eh_frame_hdr 
   06     .eh_frame_hdr 

segment类型

常量 描述
PT_NULL 0 空值
PT_LOAD 1 加载到内存中
PT_DYNAMIC 2 动态链接
PT_INTERP 3 动态链接的辅助信息
PT_NOTE 4 暂时用不到
PT_SHLIB 5 RFU
PT_PHDR 6 程序表头的位置和大小
GNU_EH_FRAME .eh_frame_hdr专用

总结起来,过程就是,先装载数据,再装载代码,然后是动态链接相关的,最后是系统的一些辅助信息。

ELF文件头(下)

积累了前面这么多基础知识之后,我们终于可以向ELF文件头的后半部分前进了。

做为坚定的64位的爱好者,我以64位为例来讲解后面的文件头,兼顾32位。

偏移量 字段 长度 描述
0x18 e_entry 8 程序的入口点,32位下为4字节
0x20 e_phoff 8 程序头表的地址,其实就是segment表,对应segment与section的关系的,32位下为4字节
0x28 e_shoff 8 段头表的地址,指向section的表,32位下为4字节
0x30 e_flags 4 根据架构不同的标志位
0x34 e_ehsize 2 ELF头的长度,在64位下是64字节,在32位下是52字节。差的12个字节就是上面的三个字段e_entry,e_phoff,e_shoff给闹的
0x36 e_phentsize 2 程序头表项的长度
0x38 e_phnum 2 程序头表的记录数
0x3A e_shentsize 2 section表记录的长度
0x3C e_shnum 2 section表的记录数
0x3E e_shstrndx 2 section表中的哪一项是名字项

好,我们还把上章的那个例子拿出来:

7F 45 4C 46  02 01 01 03  00 00 00 00  00 00 00 00  
03 00 B7 00  01 00 00 00  00 00 00 00  00 00 00 00  
40 00 00 00  00 00 00 00  E0 3A AA 00  00 00 00 00  
00 00 00 00  40 00 38 00  07 00 40 00  12 00 11 00  
06 00 00 00  04 00 00 00  40 00 00 00  00 00 00 00  
40 00 00 00  00 00 00 00

还记得我们上次分析的头0x18个字节吗?

  • 7F 45 4C 46: Magic Number,0x7f-E-L-F
  • 02:64位
  • 01:Little Endian,小端
  • 01:版本号1
  • 03:Linux
  • 8个0:没用到
  • 03 00:动态链接库
  • B7 00: AArch64
  • 01 00 00 00: 版本号1

温故而知新,我们开始这节学到的内容:

  • 00 00 00 00 00 00 00 00:e_entry入口地址,0
  • 40 00 00 00 00 00 00 00:程序表头地址:本文件0x40开始
  • E0 3A AA 00 00 00 00 00:section表的地址:0xaa3ae0
  • 00 00 00 00: flag,全0
  • 40 00:ELF头的长度,0x40,64字节。
  • 38 00:每个segment表项的长度,0x38,56字节
  • 07 00:segment一共多少项:7项
  • 40 00:section表记录的长度,0x40,64字节
  • 12 00:section共有多少个,18个
  • 11 00:名字的index,17
上一篇:两个零点的存在性


下一篇:Postfix邮件服务器搭建之roundcube webmail安装与配置