Memahami Format File ELF

Dari Kode Sumber Ke Kode Biner

Pemrograman dimulai dengan memiliki ide yang cerdas, dan menulis kode sumber dalam bahasa pemrograman pilihan Anda, misalnya C, dan menyimpan kode sumber dalam file. Dengan bantuan compiler yang memadai, misalnya GCC, kode sumber Anda diterjemahkan ke dalam kode objek, pertama,. Akhirnya, linker menerjemahkan kode objek menjadi file biner yang menghubungkan kode objek dengan pustaka yang direferensikan. File ini berisi instruksi tunggal sebagai kode mesin yang dipahami oleh CPU, dan dieksekusi segera setelah program yang dikompilasi dijalankan.

File biner yang disebutkan di atas mengikuti struktur tertentu, dan salah satu yang paling umum bernama ELF yang merupakan singkatan dari Executable and Linkable Format. Ini banyak digunakan untuk file yang dapat dieksekusi, file objek yang dapat dipindahkan, perpustakaan bersama, dan dump inti.

Dua puluh tahun yang lalu - pada tahun 1999 - proyek 86open telah memilih ELF sebagai format file biner standar untuk sistem mirip Unix dan Unix pada prosesor x86. Untungnya, format ELF sebelumnya telah didokumentasikan di Antarmuka Biner Aplikasi Sistem V, dan Standar Antarmuka Alat [4]. Fakta ini sangat menyederhanakan kesepakatan tentang standarisasi antara vendor yang berbeda dan pengembang sistem operasi berbasis Unix.

Alasan di balik keputusan itu adalah desain ELF - fleksibilitas, ekstensibilitas, dan dukungan lintas platform untuk format endian dan ukuran alamat yang berbeda. Desain ELF tidak terbatas pada prosesor, set instruksi, atau arsitektur perangkat keras tertentu. Untuk perbandingan detail format file yang dapat dieksekusi, lihat di sini [3].

Sejak itu, format ELF digunakan oleh beberapa sistem operasi yang berbeda. Antara lain, ini termasuk Linux, Solaris/Illumos, Free-, Net- dan OpenBSD, QNX, BeOS/Haiku, dan Fuchsia OS [2]. Selanjutnya, Anda akan menemukannya di perangkat seluler yang menjalankan Android, Maemo atau Meego OS/Sailfish OS serta di konsol game seperti PlayStation Portable, Dreamcast, dan Wii.

Spesifikasi tidak menjelaskan ekstensi nama file untuk file ELF. Yang digunakan adalah berbagai kombinasi huruf, seperti .axf, .tempat sampah, .peri, .Hai, .prx, .engah, .ko, .jadi, dan .mod, atau tidak sama sekali.

Struktur File ELF

Di terminal Linux, perintah man elf memberi Anda ringkasan praktis tentang struktur file ELF:

Listing 1: Halaman manual dari struktur ELF

$pria elf
ELF(5) Panduan Pemrogram Linux ELF(5)
NAMA
elf - format file Executable and Linking Format (ELF)
RINGKASAN
#termasuk
DESKRIPSI
File headernya mendefinisikan format biner yang dapat dieksekusi ELF
file. Di antara file-file ini adalah file yang dapat dieksekusi normal, dapat dipindahkan
file objek, file inti, dan perpustakaan bersama.
File yang dapat dieksekusi menggunakan format file ELF terdiri dari header ELF,
diikuti oleh tabel header program atau tabel header bagian, atau keduanya.
Header ELF selalu pada offset nol dari file. Program
tabel header dan offset tabel header bagian dalam file adalah
didefinisikan dalam header ELF. Kedua tabel menggambarkan sisa dari
kekhasan file.
…

Seperti yang Anda lihat dari deskripsi di atas, file ELF terdiri dari dua bagian - header ELF, dan data file. Bagian data file dapat terdiri dari tabel header program yang menggambarkan nol atau lebih segmen, tabel header bagian yang menjelaskan nol atau lebih bagian, yang diikuti oleh data yang dirujuk oleh entri dari tabel header program, dan tabel header bagian. Setiap segmen berisi informasi yang diperlukan untuk eksekusi run-time file, sedangkan bagian berisi data penting untuk menghubungkan dan relokasi. Gambar 1 mengilustrasikan ini secara skematis.

Judul ELF

Header ELF panjangnya 32 byte, dan mengidentifikasi format file. Dimulai dengan urutan empat byte unik yaitu 0x7F diikuti oleh 0x45, 0x4c, dan 0x46 yang diterjemahkan menjadi tiga huruf E, L, dan F. Di antara nilai-nilai lain, header juga menunjukkan apakah itu adalah file ELF untuk format 32 atau 64-bit, menggunakan sedikit atau besar endianness, menunjukkan versi ELF serta untuk sistem operasi mana file tersebut dikompilasi agar dapat beroperasi dengan antarmuka biner aplikasi kanan (ABI) dan set instruksi cpu.

Hexdump dari sentuhan file biner terlihat sebagai berikut:

.Daftar 2: Hexdump dari file biner

$ hd /usr/bin/sentuh | kepala -5
00000000 7f 45 4c 46 02 01 01 00 00 00 00 00 00 00 00 00 |.ELF… |
00000010 02 00 3e 00 01 00 00 00 e3 25 40 00 00 00 00 00 |… >… %@… |
00000020 40 00 00 00 00 00 00 00 28 e4 00 00 00 00 00 00 |@… (… |
00000030 00 00 00 00 40 00 38 00 09 00 40 00 1b 00 1a 00 |[email protected]@… |
00000040 06 00 00 00 05 00 00 00 40 00 00 00 00 00 00 00 |[email protected]|

Debian GNU/Linux menawarkan perintah readelf yang disediakan dalam paket 'binutils' GNU. Disertai dengan switch -h (versi singkat untuk "-file-header") ini menampilkan header file ELF dengan baik. Daftar 3 mengilustrasikan ini untuk perintah sentuh command.

.Listing 3: Menampilkan header file ELF

$ readelf -h /usr/bin/touch
Judul ELF:
Sihir: 7f 45 4c 46 02 01 01 00 00 00 00 00 00 00 00 00
Kelas: ELF64
Data: pelengkap 2, little endian
Versi: 1 (saat ini)
OS/ABI: UNIX - Sistem V
Versi ABI: 0
Jenis: EXEC (File yang dapat dieksekusi)
Mesin: Perangkat Mikro Lanjutan X86-64
Versi: 0x1
Alamat titik masuk: 0x4025e3
Mulai dari header program: 64 (byte ke dalam file)
Mulai dari header bagian: 58408 (byte ke dalam file)
Bendera: 0x0
Ukuran header ini: 64 (byte)
Ukuran header program: 56 (byte)
Jumlah header program: 9
Ukuran header bagian: 64 (byte)
Jumlah header bagian: 27
Bagian indeks tabel string header: 26

Judul Program

Header program menunjukkan segmen yang digunakan saat run-time, dan memberi tahu sistem cara membuat gambar proses. Header dari Listing 2 menunjukkan bahwa file ELF terdiri dari 9 header program yang masing-masing berukuran 56 byte, dan header pertama dimulai pada byte 64.

Sekali lagi, perintah readelf membantu mengekstrak informasi dari file ELF. Saklar -l (kependekan dari -program-header atau -segments) mengungkapkan lebih banyak detail seperti yang ditunjukkan pada Daftar 4.

.Listing 4: Menampilkan informasi tentang header program

$ readelf -l /usr/bin/touch
Jenis file Elf adalah EXEC (File yang dapat dieksekusi)
Titik masuk 0x4025e3
Ada 9 header program, mulai dari offset 64
Judul Program:
Ketik Offset VirtAddr PhysAddr
FileSiz MemSiz Flags Align
PHDR 0x00000000000000040 0x0000000000400040 0x0000000000400040
0x00000000000001f8 0x00000000000001f8 R E 8
INTERP 0x0000000000000238 0x0000000000400238 0x0000000000400238
0x000000000000001c 0x000000000000001c R 1
[Meminta penerjemah program: /lib64/ld-linux-x86-64.begitu.2]
BEBAN 0x0000000000000000 0x0000000000400000 0x0000000000400000
0x000000000000d494 0x000000000000d494 R E 200000
LOAD 0x000000000000de10 0x000000000060de10 0x000000000060de10
0x0000000000000524 0x0000000000000748 RW 200000
DINAMIS 0x000000000000de28 0x000000000060de28 0x000000000060de28
0x00000000000001d0 0x00000000000001d0 RW 8
CATATAN 0x0000000000000254 0x0000000000400254 0x0000000000400254
0x0000000000000044 0x0000000000000044 R 4
GNU_EH_FRAME 0x000000000000bc40 0x000000000040bc40 0x000000000040bc40
0x00000000000003a4 0x00000000000003a4 R 4
GNU_STACK 0x0000000000000000 0x0000000000000000 0x0000000000000000
0x0000000000000000 0x0000000000000000 RW 10
GNU_RELRO 0x000000000000de10 0x000000000060de10 0x000000000060de10
0x00000000000001f0 0x00000000000001f0 R 1
Pemetaan Bagian ke Segmen:
Bagian Segmen…
00
01 .interp
02 .interp .catatan.Tag ABI .catatan.gnu.build-id .gnu.hash .dynsym .dynstr .gnu.Versi: kapan .gnu.versi_r .berhubungan.dyn .berhubungan.plt .init .plt .teks .selesai .rodata .eh_frame_hdr .eh_frame
03 .init_array .fini_array .jcr .dinamis .punya .punya.plt .data .bss
04 .dinamis
05 .catatan.Tag ABI .catatan.gnu.build-id
06 .eh_frame_hdr
07
08 .init_array .fini_array .jcr .dinamis .punya

Kepala Bagian

Bagian ketiga dari struktur ELF adalah header bagian. Ini dimaksudkan untuk membuat daftar bagian tunggal dari biner. Sakelar -S (kependekan dari -section-header atau -sections) mencantumkan header yang berbeda. Adapun perintah sentuh, ada 27 header bagian, dan Listing 5 menunjukkan empat yang pertama ditambah yang terakhir, hanya. Setiap baris mencakup ukuran bagian, jenis bagian serta alamat dan memori offset.

.Daftar 5: Detail bagian diungkapkan oleh readelf

$ readelf -S /usr/bin/touch
Ada 27 header bagian, mulai dari offset 0xe428:
Judul Bagian:
[Nr] Nama Jenis Alamat Offset
Ukuran EntSize Bendera Info Tautan Sejajarkan
[ 0] NULL 0000000000000000 00000000
0000000000000000 0000000000000000 0 0 0
[1] .interp PROGIT 00000000000400238 00000238
000000000000001c 0000000000000000 A 0 0 1
[ 2] .catatan.ABI-tag CATATAN 00000000000400254 00000254
00000000000000020 0000000000000000 A 0 0 4
[ 3] .catatan.gnu.build-i CATATAN 0000000000400274 00000274
…
…
[26] .shstrtab STRTAB 0000000000000000 0000e334
000000000000000ef 0000000000000000 0 0 1
Kunci Bendera:
W (tulis), A (alokasikan), X (eksekusi), M (gabungkan), S (string), l (besar)
I (info), L (urutan tautan), G (grup), T (TLS), E (tidak termasuk), x (tidak diketahui)
O (pemrosesan OS ekstra diperlukan) o (khusus OS), p (khusus prosesor)

Alat untuk Menganalisis file ELF

Seperti yang mungkin telah Anda catat dari contoh di atas, GNU/Linux dilengkapi dengan sejumlah alat berguna yang membantu Anda menganalisis file ELF. Kandidat pertama yang akan kita lihat adalah utilitas file.

file menampilkan informasi dasar tentang file ELF, termasuk arsitektur set instruksi yang dimaksudkan untuk kode dalam file objek yang dapat dipindahkan, dieksekusi, atau dibagikan. Dalam daftar 6, ia memberi tahu Anda bahwa /bin/touch adalah file yang dapat dieksekusi 64-bit mengikuti Basis Standar Linux (LSB), terhubung secara dinamis, dan dibuat untuk kernel GNU/Linux versi 2.6.32.

.Daftar 6: Informasi dasar menggunakan file

$ file /bin/sentuh
/bin/touch: ELF 64-bit LSB yang dapat dieksekusi, x86-64, versi 1 (SYSV), tertaut secara dinamis, penerjemah /lib64/l,
untuk GNU/Linux 2.6.32, BuildID[sha1]=ec08d609e9e8e73d4be6134541a472ad0ea34502, dilucuti
$

Kandidat kedua adalah readself. Ini menampilkan informasi rinci tentang file ELF. Daftar sakelar cukup panjang, dan mencakup semua aspek format ELF. Menggunakan sakelar -n (kependekan dari -notes) Listing 7 menunjukkan bagian catatan, hanya, yang ada di file touch - tag versi ABI, dan bitstring ID build.

.Listing 7: Menampilkan bagian yang dipilih dari file ELF

$ readelf -n /usr/bin/touch
Menampilkan catatan yang ditemukan di file offset 0x00000254 dengan panjang 0x00000020:
Ukuran Data Pemilik Deskripsi
GNU 0x00000010 NT_GNU_ABI_TAG (tag versi ABI)
OS: Linux, ABI: 2.6.32
Menampilkan catatan yang ditemukan di file offset 0x00000274 dengan panjang 0x00000024:
Ukuran Data Pemilik Deskripsi
GNU 0x00000014 NT_GNU_BUILD_ID (bitstring ID build unik)
Membangun ID: ec08d609e9e8e73d4be6134541a472ad0ea34502

Perhatikan bahwa di bawah Solaris dan FreeBSD, utilitas elfdump [7] sesuai dengan readelf. Pada 2019, belum ada rilis atau pembaruan baru sejak 2003.

Nomor tiga adalah paket bernama elfutils [6] yang murni tersedia untuk Linux. Ini menyediakan alat alternatif untuk GNU Binutils, dan juga memungkinkan memvalidasi file ELF. Perhatikan bahwa semua nama utilitas yang disediakan dalam paket dimulai dengan eu untuk 'elf utils'.

Last but not least kami akan menyebutkan objdump. Alat ini mirip dengan readelf tetapi berfokus pada file objek. Ini menyediakan berbagai informasi serupa tentang file ELF dan format objek lainnya.

.Listing 8: Informasi file diekstrak oleh objdump

$ objdump -f /bin/touch
/bin/touch: format file elf64-x86-64
arsitektur: i386:x86-64, bendera 0x00000112:
EXEC_P, HAS_SYMS, D_PAGED
alamat awal 0x00000000004025e3
$

Ada juga paket perangkat lunak yang disebut 'elfkickers' [9] yang berisi alat untuk membaca isi file ELF serta memanipulasinya. Sayangnya, jumlah rilisnya agak sedikit, dan itulah sebabnya kami hanya menyebutkannya, dan tidak menunjukkan contoh lebih lanjut.

Sebagai pengembang, Anda mungkin melihat 'pax-utils' [10,11], sebagai gantinya. Kumpulan utilitas ini menyediakan sejumlah alat yang membantu memvalidasi file ELF. Sebagai contoh, dumpelf menganalisis file ELF, dan mengembalikan file header C yang berisi detail - lihat Gambar 2.

Kesimpulan

Berkat kombinasi desain yang cerdas dan dokumentasi yang sangat baik, format ELF bekerja dengan sangat baik, dan masih digunakan setelah 20 tahun. Utilitas yang ditunjukkan di atas memungkinkan Anda melihat wawasan tentang file ELF, dan memungkinkan Anda mengetahui apa yang sedang dilakukan suatu program program. Ini adalah langkah pertama untuk menganalisis perangkat lunak - selamat meretas!

Tautan dan Referensi

[1] Format yang Dapat Dieksekusi dan Dapat Ditautkan (ELF), Wikipedia
[2] Fuchsia OS
[3] Perbandingan format file yang dapat dieksekusi, Wikipedia
[4] Linux Foundation, Spesifikasi Referensi
[5] Tutorial Ciro Santilli: ELF Hello World
[6] paket Debian elfutils
[7] elfdump
[8] Michael Boelen: 101 file ELF di Linux: Pemahaman dan Analisis
[9] elfkickers
[10] Utilitas Hardened/PaX
[11] pax-utils, paket Debian

Ucapan Terima Kasih

Penulis mengucapkan terima kasih kepada Axel Beckert atas dukungannya dalam penyusunan artikel ini.