ELF文件格式解析

参考资料

• ELF文件格式解析
• 《Android软件安全权威指南》8.4-原生程序文件格式
• Android平台感染ELF文件实现模块注入
• elf文件类型六 Dynamic Section（动态section）
• 简单粗暴的so加解密实现

  上边的资料对ELF文件格式的分析非常详细，这边主要记录一下自己感觉比较重要和掌握的不是很清楚的部分，增加一些自己的理解，也方便后续查阅。

ELF文件整体组成

  在《Android软件安全权威指南》中提到一个ELF文件可以按内容划分为三部分，将Sections归到了Program Header Table和Section Header Table中，这边我更倾向于将Sections独立出来，于是ELF被分为如下四部分：

• ELF Header：文件头
• Program Header Table：程序头表，包含多个Program Header
• Sections：程序节区，ELF文件的主要内容存放与此
• Section Header Table：节区头表，包含多个Section Header

  如图展示了ELF文件四个部分的空间上的组成，同时展示了ELF的两个视图：链接视图和执行视图。链接视图只在链接中起作用，而执行视图只在加载并执行时起作用。

  为什么需要区分两种不同视图？（即为什么要区分段和节？）内存分配和权限管理以页为单位，一节太小浪费空间，所以把相同权限的节放到一起管理。可以减少页面内部的碎片，节省了空间，显著提高内存利用率。另外将Section Header放到Sections下面的好处是，程序在运行时只需加载整个ELF文件的上面三个部分即可，而最后的Section Header可以忽略。不过即便如此，经过实测发现在实际加载过程中还是会把Section Header给加载进去。下面会对每个组成部分来单独讲解，最好配合010Editor打开一个so文件对照着看。

ELF Header

  所有ELF文件首先都以一个64字节大小的ELF头作为开头，其包含内容可以用readelf -h xxx.so或者拖入010Editor中用模板查看，如下图所示：

其中比较重要的就是它记录了Program Header Table以及Section Header Table的起始位置、数量和大小，还有Section Header String Table的index，这个Section Header String Table马上就会讲到，详情见Section Header Table，这几个可能在逆向和防护上用得上，其他的用处不大。

所以综上所述，整个SO文件的大小= e_shoff + e_shnum * sizeof(e_shentsize) + 1

有兴趣可以参考这篇文章来了解更多：ELF文件格式解析，下面很多部分都借鉴了这篇文章的内容。

Section Header Table

  为方便理解还是先讲Section Header Table在讲Program Header Table，同理对于Section和Segment的概念也是先讲前者，因为在了解Section Header Table之前，位于Section Header Table和Program Header Table中间的一大片数据都是Sections，所以首先我们要了解什么是Section Header Table。

Section Header Table顾名思义，是由一个个Section Header组成的Table，其第一个Section Header的地址可以在ELF Header中找到。每一个都有一下十个属性

typedef struct{
    Elf32_Word sh_name;   //节区名，是节区头部字符串表节区（Section Header String Table Section）的索引。名字是一个 NULL 结尾的字符串。
    Elf32_Word sh_type;    //为节区类型
    Elf32_Word sh_flags;    //节区标志
    Elf32_Addr sh_addr;    //如果节区将出现在进程的内存映像中，此成员给出节区的第一个字节应处的位置。否则，此字段为 0。
    Elf32_Off sh_offset;    //此成员的取值给出节区的第一个字节与文件头之间的偏移。
    Elf32_Word sh_size;   //此成员给出节区的长度（字节数）。
    Elf32_Word sh_link;   //此成员给出节区头部表索引链接。其具体的解释依赖于节区类型。
    Elf32_Word sh_info;       //此成员给出附加信息，其解释依赖于节区类型。
    Elf32_Word sh_addralign;    //某些节区带有地址对齐约束.
    Elf32_Word sh_entsize;    //某些节区中包含固定大小的项目，如符号表。对于这类节区，此成员给出每个表项的长度字节数。
}Elf32_Shdr;

sh_name & String Table

  首先由于每个Section Header的大小都是固定的且相等的，所以sh_name就不能直接硬编码写在Header里，所以这里的sh_name其实是一个偏移，它的基址是Section Header String Table的起始地址。既然讲到这个Section Header String Table，就先解释一下它是啥。在ELF Header的部分就提到了这个玩意，ELF Header记录了这个Section Header String Table在所有Sections中的index，也就是说它其实也是众多Section中的其中一个，只不过它比较特殊所以ELF Header给他特殊标记出来了，它内部记录了一些字符串，所以这个节的sh_type值为SHT_STRTAB，代表它是一个字符串表。当然一个ELF文件中可能不止一个字符串表，但是由于这个节被ELF Header明确标记为Section Header String Table，说明它是一个专门给所有Section记录名字的字符串表。另外还有一个重要的字符串表是.dynsym它的sh_type值也为SHT_STRTAB但是它的作用不一样，之后再讲。

sh_type

关于每个类型不会一一详细介绍，在Section部分会挑出几个重要的单独介绍。

sh_flag

sh_flag标志着此节区是否可以修改，是否可以执行，如下定义：

sh_link & sh_info

sh_link和sh_info字段的具体含义依赖于sh_type的值：

Section

字符串表与符号表

  一个ELF文件中包含三张字符串表

• .dynstr
• .shstrtab
• .strtab

.shstrtab

.shstrtab节之前已经提过了，是用来记录每个Section的名称的，每个Section Header Table的sh_name字段记录的就是这个Section的名称在.shstrtab节中的偏移。

.dynstr

.dynstr和.shstrtab一样存放的都是字符串，只不过字符串的用途不一样，后者是每个Section的名称，而前者则是程序中符号定义和引用的名称，通俗讲就是函数名和变量名，还有依赖的其他So的名称等。而访问这个表的则是另一个节区.dynsym

.dynsym

dynsym内容如下

乍一看也是莫名其妙不知所云，其实.dynsym也是像Section Header Table一样有自己的组成格式

typedef struct {  
     Elf32_Word st_name;      //符号表项名称。如果该值非0，则表示符号名的字符串表索引(offset)，否则符号表项没有名称。
     Elf32_Addr st_value;       //符号的取值。依赖于具体的上下文，可能是一个绝对值、一个地址等等。
     Elf32_Word st_size;         //符号的尺寸大小。例如一个数据对象的大小是对象中包含的字节数。
     unsigned char st_info;    //符号的类型和绑定属性。
     unsigned char st_other;  //该成员当前包含 0，其含义没有定义。
     Elf32_Half st_shndx;        //每个符号表项都以和其他节区的关系的方式给出定义。此成员给出相关的节区头部表索引。
} Elf32_sym;

在010Editor里解析完成后这部分的内容就是dynamic_symbol_table了

其中的symname值就是在.dynstr的偏移了。

.strtab

.strtab表里面存放的是ELF中引用的字符串信息，例如ELF中导出的函数名、编译器添加的调试符号名称与源代码文件名等。暂略。

.dynamic节区

  由于.dynamic节区在010Editor中不会和其他Header Table一样有模板来解析各个组成部分的含义，而是只能看到如下图中的内容，因此需要人工的理解一下各个部分的意义。参考elf文件类型六 Dynamic Section（动态section），文中介绍了.dynamic节区的数据结构和特定值的含义

typedef struct {
      Elf32_Sword d_tag;
      union {
          Elf32_Sword d_val;
          Elf32_Addr d_ptr;
      } d_un;
  } Elf32_Dyn;

  只有两个属性d_tag和d_un，其中d_un的值的含义取决于d_tag的值，不同情况下含义不同，可能是代表size，也可能是offset等等，offset也分不同情况，可能是基于ELF文件基址的offset，也可能是基于字符串表地址的offset。如图是32位ELF的.dynamic节区，所以一个条目是d_tag(四字节) + d_un(四字节)共八字节。若在64位下则是一共十六字节。由于使用了union共用体所以d_val和d_ptr两者在不同情况下只有最多其中一个有意义。

d_tag

以下的表格总结了对可执行和共享object文件需要的tag。假如tag被标为mandatory，ABI-conforming文件的动态连接数组必须有一个那样的入口。同样的，optional意味着一个可能出现tag的入口，但是不是必须的。

暂时总结这么多，这部分内容可能要单独一篇文章。

重定位表

水很深，另开新坑介绍

Program Header Table

typedef struct {  
    Elf32_Word p_type;           //此数组元素描述的段的类型，或者如何解释此数组元素的信息。 
    Elf32_Off  p_offset;           //此成员给出从文件头到该段第一个字节的偏移
    Elf32_Addr p_vaddr;         //此成员给出段的第一个字节将被放到内存中的虚拟地址
    Elf32_Addr p_paddr;        //此成员仅用于与物理地址相关的系统中。System V忽略所有应用程序的物理地址信息。
    Elf32_Word p_filesz;         //此成员给出段在文件映像中所占的字节数。可以为0。
    Elf32_Word p_memsz;     //此成员给出段在内存映像中占用的字节数。可以为0。
    Elf32_Word p_flags;         //此成员给出与段相关的标志。
    Elf32_Word p_align;        //此成员给出段在文件中和内存中如何对齐。
} Elf32_phdr;

p_type

ELF加载

  经过测试，ELF文件被加载时会每个LOAD段的记录将文件进行加载，具体来说，就是将ELF文件从LOAD段的p_offset位置读取p_filesz大小的数据，映射到内存中ELF基址+p_vaddr偏移的位置(描述可能不够准确)。会被加载的就只有LOAD段而已，不要误解以为其他类型的段也是从文件中加载进去的，实际上其他类型的段只是将被加载到内存中的LOAD段中的某些重要数据单独指出来而已。

  如上图所示，DYNAMIC段的内存范围实际上是位于第二个LOAD段内部的。其他的非LOAD段也是同样的道理。

  然后上图的LOAD有两个主要是为了将相同权限的节合并到一起管理，这些节在文件中的位置基本上也是按照顺序排下来的，可以具体某一个节映射到哪个位置则是看Section Header Table中的sh_addr值。这边可以看下一般情况下第一个Section Header应该是空的，原因不明。第二个Section Header开始就有用了，从上图可以知道我这边的情况，第一个Header应该是.note.gnu.build-id，然后它的sh_addr必定是0x200，因为在第一个节往上的空间被ELF Header和Program Header给占据了他们的大小是0x40+0x1C0=0x200

  此外，值得注意的是ELF加载时并没有读取所有ELF文件中的内容去加载到内存中，实际上我这个ELF文件还有个.comment和.shstrtab节，并没有在上图中看到被加载到哪个段了，原因是这个节的sh_addr是0x0000。而且Section Header Table也不会被加载到内存中。所以其实可以把这两个节给删除，完全不影响加载。

一些重要结论

如何定位.dynstr？

  通过Program Header Table定位，首先找到dynamic段，然后读取遍历dynamic段的条目，找到DT_STRTAB，后边的值即为.dynstr的偏移。如图

init函数定位

so 介绍 IDA调试android so的.init_array数组

ELF删除或添加一个Section

以删除.comment为例

1. 直接删除
2. 修复受影响的节的偏移（shstrtab应该会受影响，要求修改对应Header中的偏移值）
3. 将Section Header Table以16字节对齐
4. 删除Section Header Table中的.comment节的Header
5. 修改ELF Header中Section Header Table的偏移，并将Header数量以及shstrtab的index都-1