1——man elf的翻译——ELF header (Ehdr)

刺骨的言语ヽ痛彻心扉 2022-03-06 13:42 267阅读 0赞

学习ptrace，学习linux本质，elf是无法绕开的一个基础知识。所有的网上知识都没有man elf来的准确和优秀，唯一艰难的一点就是英文。这么多年，我也没在网上找到一个翻译版本，所以我觉得好好阅读一下，并用自己的话翻译出来于大家分享是一件不错的事情。抽空我会进行翻译和更新。在翻译结束之前就暂时不排版了，等都结束了，我会再汇总，认真设计一下结构。

名字  
elf——可执行和链接格式文件。就是这个意思，linux上允许的一切程序和生成程序的中间文件都是elf格式，  
无一例外。  
描述  
<elf.h>头文件定义了elf二进制文件的格式，包括，可执行文件，.o临时文件，core文件，.a和.so共享文件。  
可执行文件的elf文件格式是这样的：首先是elf header，紧跟着是program header table或者section header table，  
或者他们两个都有。elf header一般是在文件的0偏移位置开始，也就是文件开头的意思，从第一个字节开始。  
program header table和section header table在文件中的偏移量是在elf header中定义的。它们两个呀，  
描述的是elf文件除了elf header之外，剩下的所有部分的细节，全在里面。  
基本格式  
下面要描述的这些个变量名的类型是这么个意思。大写的N，代表了32或者是64，因为现在主流的操作系统都是  
32位或者64位：  
ElfN\_Addr Unsigned program address, uintN\_t  
ElfN\_Off Unsigned file offset, uintN\_t  
ElfN\_Section Unsigned section index, uint16\_t  
ElfN\_Versym Unsigned version symbol information, uint16\_t  
Elf\_Byte unsigned char  
ElfN\_Half uint16\_t  
ElfN\_Sword int32\_t  
ElfN\_Word uint32\_t  
ElfN\_Sxword int64\_t  
ElfN\_Xword uint64\_t  
  
所有的数据结构的格式都是natural的，就按正常的逻辑去思考即可，在需要字节对齐的时候也可以去对齐。

ELF header（EHdr）  
它是用Elf32\_Ehdr和Elf64\_Ehdr结构体来描述的：  
  
\#define EI\_NIDENT 16

typedef struct \{  
unsigned char e\_ident\[EI\_NIDENT\];  
uint16\_t e\_type;  
uint16\_t e\_machine;  
uint32\_t e\_version;  
ElfN\_Addr e\_entry;  
ElfN\_Off e\_phoff;  
ElfN\_Off e\_shoff;  
uint32\_t e\_flags;  
uint16\_t e\_ehsize;  
uint16\_t e\_phentsize;  
uint16\_t e\_phnum;  
uint16\_t e\_shentsize;  
uint16\_t e\_shnum;  
uint16\_t e\_shstrndx;  
\} ElfN\_Ehdr;  
  
e\_ident 是一个字符串数组，描述说明了这个文件。独立于处理器和文件剩下的部分，不相关完全独立。可以  
说为空也没事。别看总共就16个字节，全部都是用宏来定义的，宏的前缀是EI\_。开始的前4个字节是  
固定的：0x7f,'E',‘L’，‘F’。内容如果也用宏表示的话，前缀是ELF这3个大写字母。  
  
EI\_MAG0 magic number的第1个字节，必须填写为ELFMAG0（0：0x7f）  
EI\_MAG1 magic number的第2个字节，必须填写为ELFMAG1（1：‘E’）  
EI\_MAG2 magic number的第3个字节，必须填写为ELFMAG2（2：‘L’）  
EI\_MAG3 magic number的第4个字节，必须填写为ELFMAG3（3：‘F’）  
EI\_CLASS 第5个字节，确定二进制文件的结构：  
ELFCLASSNONE this class无效。  
ELFCLASS32 32位结构，支持4字节对齐。  
ELFCLASS64 64位结构。  
EI\_DATA 第6个字节，确定数据的大小端:  
ELFDATANONE 不确定。  
ELFDATA2LSB Two's complement，可能是二进制补码的意思，小端。  
ELFDATA2MSB Two's complement，可能是二进制补码的意思，大端。  
EI\_VERSION 第7个字节，文件specification的版本：  
EV\_NONE 无效版本。  
EV\_CURRENT 当前版本。  
EI\_OSABI 第8个字节，（ABI是运行程序接口的意思）确定操作系统和ABI。ELF其它的一些数据结构  
可能有标志和数值指明特定平台。它们都是根据这个字节定义哒。例如：  
ELFOSABI\_NONE Same as ELFOSABI\_SYSV  
ELFOSABI\_SYSV UNIX System V ABI  
ELFOSABI\_HPUX HP-UX ABI  
ELFOSABI\_NETBSD NetBSD ABI  
ELFOSABI\_LINUX Linux ABI  
ELFOSABI\_SOLARIS Solaris ABI  
ELFOSABI\_IRIX IRIX ABI  
ELFOSABI\_FREEBSD FreeBSD ABI  
ELFOSABI\_TRU64 TRU64 UNIX ABI  
ELFOSABI\_ARM ARM architecture ABI  
ELFOSABI\_STANDALONE Stand-alone (embedded) ABI  
EI\_ABIVERSION 第9字节，ABI的版本。有些ABI在两个不同的版本中是不相容的，这个字段就是做  
这个区分使用。值的话和上一个字节（第8字节）有关。  
Applications conforming to this specification use the value 0  
EI\_PAD padding的开始。这是保留字段，默认填0.程序读取它们的话应该忽略它们。留着以后用。  
EI\_NIDENT e\_ident的size。

e\_type identifies the object file type:也就是本文件的类型，因为咱们linux的这种elf文件也包含很多种  
ET\_NONE 不知道类型  
ET\_REL 可重定向文件  
ET\_EXEC 可执行文件  
ET\_DYN 共享object  
ET\_CORE core文件

e\_machine 机器结构：  
EM\_NONE An unknown machine  
EM\_M32 AT&T WE 32100  
EM\_SPARC Sun Microsystems SPARC  
EM\_386 Intel 80386  
EM\_68K Motorola 68000  
EM\_88K Motorola 88000  
EM\_860 Intel 80860  
EM\_MIPS MIPS RS3000 (big-endian only)  
EM\_PARISC HP/PA  
EM\_SPARC32PLUS SPARC with enhanced instruction set  
EM\_PPC PowerPC  
EM\_PPC64 PowerPC 64-bit  
EM\_S390 IBM S/390  
EM\_ARM Advanced RISC Machines  
EM\_SH Renesas SuperH  
EM\_SPARCV9 SPARC v9 64-bit  
EM\_IA\_64 Intel Itanium  
EM\_X86\_64 AMD x86-64  
EM\_VAX DEC Vax

e\_version  
文件版本：  
EV\_NONE 未知版本  
EV\_CURRENT 当前版本。  
  
e\_entry 系统第一次跳转的虚拟地址，也就是程序开始的位置。如果文件没有进入地址，它就是zero。  
  
e\_phoff 保存的是program header table's file 以bytes为单位的偏移量。如果没有，就是zero。  
  
e\_shoff 保存的是section header table‘s file 以bytes为单位的偏移量。如果没有，就是zero。

e\_flags 保存的是与文件相关的processor-specific标志。标志的名字以EF\_’machine\_flag'为格式。  
到现在为止，还没有标志的定义，也就是现在还空缺，没有意义。  
  
e\_ehsize  
保存的是 ELF header 的大小。  
  
e\_phentsize  
保存的是文件的 program header 的一个 entry 的大小，所有的 entry 的大小是相同的。  
  
e\_phnum 保存的是在 program header table 里面 entry 的数量。也就是说 e\_phentsize 和 e\_phnum  
决定了 table 的大小。如果一个文件没有 program header ， e\_phnum就是0.  
  
如果 entry 的数量 >= PN\_XNUM(0xffff)的话，e\_phnum 为 PN\_XNUM，真正的 entry 个数值  
被保存在 initial entry 的 sh\_info中，否则，initial entry 的 sh\_info 赋值0.

PN\_XNUM 被定义为0xffff，是 e\_phnum 的最大值，指明了实际被分配的 program header 的  
数量。  
  
e\_shentsize  
保存了 section's header 的大小。 a section header 就是 the section header table 的  
入口；所有的 entry 的大小是相同的。  
  
e\_shnum 保存的是 section header table 的 entry 的数量。也就是说 e\_shentsize 和 e\_shnum  
决定了 section header table 的大小。如果一个文件没有 section header table， e\_shnum  
就是0.  
  
如果 entry 的数量 >= SHN\_LORESERVE(0xff00)的话，e\_shnum wei 0，真正的 entry 个数值  
被保存在 initial entry 的 sh\_size中，否则，initial entry 的 sh\_size 赋值0.  
  
e\_shstrndx  
保存了与 section name table 相关联的 section header table 的索引号。如果文件没有  
section name table，e\_shstrndx 赋值 SHN\_UNDEF。  
  
如果section name table 中的 section 的索引号 >= SHN\_LORESERVE(0xff00)，e\_shstrndx赋值  
SHN\_XINDEX(0xffff)，然后真正的索引号放在 initial entry 的 sh\_link 中。否则，sh\_link  
赋值0.  
  
（这里多次提到了 initial entry，值的是 initial entry in section header table）

这篇文章今天又做了一些补充，把 ELF header 的说明补全了。以后就按照这种大块去贴出来，

下一篇是 Program header。