从ELF文件头到机器码：手把手带你用objdump解剖Linux可执行文件

从ELF文件头到机器码：手把手带你用objdump解剖Linux可执行文件

在计算机的世界里，每个可执行程序都像一本精心编写的书，而ELF（Executable and Linkable Format）就是这本书的标准格式。当我们编译一个简单的"Hello World"程序时，编译器会将我们的源代码转换成这种格式，包含了程序运行所需的所有信息。但你知道吗？通过objdump这个强大的工具，我们可以像法医解剖一样，一层层揭开可执行文件的神秘面纱，从文件头到节头，再到实际的机器指令，完整地理解一个程序在磁盘和内存中的真实形态。

对于中高级开发者和计算机专业学生来说，理解ELF格式和反汇编技术不仅是满足好奇心，更是深入系统底层原理的必经之路。它能帮助你在调试时更准确地定位问题，在性能优化时更高效地分析瓶颈，在安全领域更深入地理解漏洞原理。接下来，我们将从最基础的ELF结构开始，逐步深入到反汇编层面，用实际的例子展示如何用objdump工具进行二进制分析。

1. ELF文件基础与objdump工具准备

ELF文件是Linux系统中可执行文件、目标文件和共享库的标准格式。它就像是一个容器，包含了程序运行所需的所有信息：代码、数据、符号表、重定位信息等。理解ELF结构是进行二进制分析的第一步。

1.1 ELF文件的基本结构

ELF文件由以下几部分组成：

• ELF头(ELF Header)：位于文件开头，描述了整个文件的组织结构
• 节头表(Section Header Table)：描述了文件中各个节(section)的信息
• 程序头表(Program Header Table)：描述了段(segment)信息，用于程序加载
• 节(Sections)：包含实际的代码、数据等信息
• 段(Segments)：运行时加载的单位，通常由一个或多个节组成

我们可以用以下命令查看一个简单C程序编译后的ELF文件基本信息：

# 编译一个简单的C程序 echo '#include <stdio.h> int main() { printf("Hello, World!\n"); return 0; }' > hello.c gcc -o hello hello.c # 查看ELF文件头信息 objdump -f hello

输出示例：

hello: 文件格式 elf64-x86-64 体系结构：i386:x86-64，标志 0x00000150： HAS_SYMS, DYNAMIC, D_PAGED 起始地址 0x0000000000401040

1.2 objdump工具简介

objdump是GNU binutils工具集中的一个强大工具，主要用于显示目标文件的信息。它的主要功能包括：

• 显示文件头信息
• 显示节头信息
• 反汇编代码段
• 显示符号表
• 显示重定位信息
• 显示调试信息

在Ubuntu/Debian系统上，可以通过以下命令安装binutils：

sudo apt-get install binutils

2. 从文件头到节头：解析ELF结构

2.1 分析ELF文件头

ELF文件头包含了描述整个文件的关键信息。使用objdump的-f选项可以查看文件头摘要：

objdump -f hello

更详细的信息可以使用readelf工具查看：

readelf -h hello

典型的输出包含以下重要字段：

2.2 查看节头信息

节头表描述了文件中各个节的信息。使用objdump的-h选项可以查看：

objdump -h hello

输出示例（部分）：

hello: 文件格式 elf64-x86-64 节： Idx Name Size VMA LMA File off Algn 0 .interp 0000001c 0000000000400238 0000000000400238 00000238 2**0 CONTENTS, ALLOC, LOAD, READONLY, DATA 1 .note.ABI-tag 00000020 0000000000400254 0000000000400254 00000254 2**2 CONTENTS, ALLOC, LOAD, READONLY, DATA 2 .note.gnu.build-id 00000024 0000000000400274 0000000000400274 00000274 2**2 CONTENTS, ALLOC, LOAD, READONLY, DATA 3 .gnu.hash 0000001c 0000000000400298 0000000000400298 00000298 2**3 CONTENTS, ALLOC, LOAD, READONLY, DATA 4 .dynsym 00000060 00000000004002b8 00000000004002b8 000002b8 2**3 CONTENTS, ALLOC, LOAD, READONLY, DATA 5 .dynstr 0000003f 0000000000400318 0000000000400318 00000318 2**0 CONTENTS, ALLOC, LOAD, READONLY, DATA 6 .gnu.version 00000008 0000000000400358 0000000000400358 00000358 2**1 CONTENTS, ALLOC, LOAD, READONLY, DATA 7 .gnu.version_r 00000020 0000000000400360 0000000000400360 00000360 2**3 CONTENTS, ALLOC, LOAD, READONLY, DATA 8 .rela.dyn 00000018 0000000000400380 0000000000400380 00000380 2**3 CONTENTS, ALLOC, LOAD, READONLY, DATA 9 .rela.plt 00000030 0000000000400398 0000000000400398 00000398 2**3 CONTENTS, ALLOC, LOAD, READONLY, DATA 10 .init 0000001a 00000000004003c8 00000000004003c8 000003c8 2**2 CONTENTS, ALLOC, LOAD, READONLY, CODE 11 .plt 00000030 00000000004003f0 00000000004003f0 000003f0 2**4 CONTENTS, ALLOC, LOAD, READONLY, CODE 12 .text 00000192 0000000000400420 0000000000400420 00000420 2**4 CONTENTS, ALLOC, LOAD, READONLY, CODE 13 .fini 00000009 00000000004005b4 00000000004005b4 000005b4 2**2 CONTENTS, ALLOC, LOAD, READONLY, CODE 14 .rodata 00000011 00000000004005c0 00000000004005c0 000005c0 2**2 CONTENTS, ALLOC, LOAD, READONLY, DATA 15 .eh_frame_hdr 00000034 00000000004005d4 00000000004005d4 000005d4 2**2 CONTENTS, ALLOC, LOAD, READONLY, DATA 16 .eh_frame 000000f4 0000000000400608 0000000000400608 00000608 2**3 CONTENTS, ALLOC, LOAD, READONLY, DATA 17 .init_array 00000008 0000000000400e10 0000000000400e10 00000e10 2**3 CONTENTS, ALLOC, LOAD, DATA 18 .fini_array 00000008 0000000000400e18 0000000000400e18 00000e18 2**3 CONTENTS, ALLOC, LOAD, DATA 19 .dynamic 000001d0 0000000000400e20 0000000000400e20 00000e20 2**3 CONTENTS, ALLOC, LOAD, DATA 20 .got 00000008 0000000000400ff0 0000000000400ff0 00000ff0 2**3 CONTENTS, ALLOC, LOAD, DATA 21 .got.plt 00000028 0000000000400ff8 0000000000400ff8 00000ff8 2**3 CONTENTS, ALLOC, LOAD, DATA 22 .data 00000010 0000000000401020 0000000000401020 00001020 2**3 CONTENTS, ALLOC, LOAD, DATA 23 .bss 00000008 0000000000401030 0000000000401030 00001030 2**0 ALLOC 24 .comment 0000002a 0000000000000000 0000000000000000 00001030 2**0 CONTENTS, READONLY

2.3 查看特定节的内容

使用-s选项可以查看特定节的内容。例如，查看.rodata节（通常包含只读数据）：

objdump -s -j .rodata hello

输出示例：

hello: 文件格式 elf64-x86-64 Contents of section .rodata: 4005c0 01000200 48656c6c 6f2c2057 6f726c64 ....Hello, World 4005d0 2100 !.

可以看到我们的"Hello, World!"字符串确实存储在这个节中。

3. 深入反汇编：从机器码到汇编指令

3.1 基本反汇编

使用-d选项可以对代码节进行反汇编：

objdump -d hello

输出会显示.text节中的所有函数，包括我们的main函数。典型的main函数反汇编结果如下：

0000000000400526 <main>: 400526: 55 push %rbp 400527: 48 89 e5 mov %rsp,%rbp 40052a: 48 83 ec 10 sub $0x10,%rsp 40052e: bf c0 05 40 00 mov $0x4005c0,%edi 400533: e8 d8 fe ff ff callq 400410 <puts@plt> 400538: b8 00 00 00 00 mov $0x0,%eax 40053d: c9 leaveq 40053e: c3 retq 40053f: 90 nop

3.2 带源代码的反汇编

如果程序是用-g选项编译的（包含调试信息），可以使用-S选项将源代码与汇编代码混合显示：

gcc -g -o hello hello.c objdump -S hello

输出示例：

0000000000400526 <main>: #include <stdio.h> int main() { 400526: 55 push %rbp 400527: 48 89 e5 mov %rsp,%rbp 40052a: 48 83 ec 10 sub $0x10,%rsp printf("Hello, World!\n"); 40052e: bf c0 05 40 00 mov $0x4005c0,%edi 400533: e8 d8 fe ff ff callq 400410 <puts@plt> return 0; 400538: b8 00 00 00 00 mov $0x0,%eax } 40053d: c9 leaveq 40053e: c3 retq 40053f: 90 nop

3.3 理解反汇编输出

让我们逐行分析main函数的反汇编输出：

1. push %rbp：保存旧的基址指针
2. mov %rsp,%rbp：设置新的基址指针
3. sub $0x10,%rsp：在栈上分配16字节空间
4. mov $0x4005c0,%edi：将字符串地址(0x4005c0)放入edi寄存器
5. callq 400410 <puts@plt>：调用puts函数
6. mov $0x0,%eax：将返回值0放入eax寄存器
7. leaveq：恢复栈指针
8. retq：从函数返回

注意：编译器优化了printf调用为puts，因为我们的字符串以换行符结尾且没有格式参数。

4. 高级分析与实战技巧

4.1 动态符号表分析

动态链接的可执行文件会使用动态符号表来解析外部函数。使用-T选项可以查看动态符号表：

objdump -T hello

输出示例（部分）：

hello: 文件格式 elf64-x86-64 DYNAMIC SYMBOL TABLE: 0000000000000000 DF *UND* 0000000000000000 GLIBC_2.2.5 puts 0000000000000000 DF *UND* 0000000000000000 GLIBC_2.2.5 __libc_start_main 0000000000000000 DF *UND* 0000000000000000 GLIBC_2.2.5 __gmon_start__ 0000000000400410 g DF .text 0000000000000000 Base _init 0000000000400440 g DF .text 0000000000000000 Base _start 0000000000400470 g DF .text 0000000000000000 Base deregister_tm_clones 00000000004004a0 g DF .text 0000000000000000 Base register_tm_clones 00000000004004e0 g DF .text 0000000000000000 Base __do_global_dtors_aux 0000000000400500 g DF .text 0000000000000000 Base frame_dummy 0000000000400526 g DF .text 0000000000000000 Base main 0000000000400540 g DF .text 0000000000000000 Base __libc_csu_init 00000000004005b0 g DF .text 0000000000000000 Base __libc_csu_fini 00000000004005b4 g DF .text 0000000000000000 Base _fini

4.2 查看重定位信息

重定位信息对于理解动态链接过程非常重要。使用-R选项可以查看：

objdump -R hello

输出示例：

hello: 文件格式 elf64-x86-64 DYNAMIC RELOCATION RECORDS OFFSET TYPE VALUE 0000000000400ff8 R_X86_64_JUMP_SLOT puts@GLIBC_2.2.5 0000000000401000 R_X86_64_JUMP_SLOT __libc_start_main@GLIBC_2.2.5 0000000000401008 R_X86_64_JUMP_SLOT __gmon_start__

4.3 分析函数调用图

虽然objdump本身不直接生成调用图，但我们可以通过分析反汇编代码手动构建。例如，查找所有callq指令：

objdump -d hello | grep callq

输出示例：

400533: e8 d8 fe ff ff callq 400410 <puts@plt> 4004e7: e8 34 ff ff ff callq 400420 <deregister_tm_clones> 4004f7: e8 44 ff ff ff callq 400440 <register_tm_clones> 40051a: e8 f1 fe ff ff callq 400410 <puts@plt> 400540: e8 cb ff ff ff callq 400510 <frame_dummy> 400576: e8 95 fe ff ff callq 400410 <puts@plt>

4.4 比较不同编译选项的影响

不同的编译选项会生成不同的机器码。让我们比较一下有无优化选项的区别：

# 无优化编译 gcc -o hello_noopt hello.c objdump -d hello_noopt > noopt.dis # 使用-O2优化编译 gcc -O2 -o hello_opt hello.c objdump -d hello_opt > opt.dis # 比较差异 diff -u noopt.dis opt.dis

优化后的代码通常会：

• 更短小精炼
• 使用更高效的指令
• 消除冗余操作
• 内联小函数

4.5 调试信息分析

如果程序是用-g选项编译的，可以使用--dwarf选项查看DWARF调试信息：

objdump --dwarf=info hello

输出会包含丰富的调试信息，包括：

• 编译单元信息
• 数据类型定义
• 变量位置描述
• 源代码行号映射

5. 实际案例分析：破解简单Crackme

为了更好地理解这些概念，让我们分析一个简单的"crackme"程序（一种合法的逆向工程练习程序）。假设我们有如下程序：

// crackme.c #include <stdio.h> #include <string.h> int check_password(const char* pass) { return strcmp(pass, "secret") == 0; } int main(int argc, char** argv) { if (argc != 2) { printf("Usage: %s <password>\n", argv[0]); return 1; } if (check_password(argv[1])) { printf("Congratulations! You cracked it!\n"); } else { printf("Wrong password!\n"); } return 0; }

编译它：

gcc -o crackme crackme.c

5.1 定位关键函数

首先，我们反汇编整个程序：

objdump -d crackme > crackme.dis

然后搜索"check_password"函数：

0000000000400646 <check_password>: 400646: 55 push %rbp 400647: 48 89 e5 mov %rsp,%rbp 40064a: 48 83 ec 10 sub $0x10,%rsp 40064e: 48 89 7d f8 mov %rdi,-0x8(%rbp) 400652: 48 8b 45 f8 mov -0x8(%rbp),%rax 400656: 48 8d 35 a7 00 00 00 lea 0xa7(%rip),%rsi # 400704 <_IO_stdin_used+0x4> 40065d: 48 89 c7 mov %rax,%rdi 400660: e8 bb fe ff ff callq 400520 <strcmp@plt> 400665: 85 c0 test %eax,%eax 400667: 0f 94 c0 sete %al 40066a: 0f b6 c0 movzbl %al,%eax 40066d: c9 leaveq 40066e: c3 retq

关键点在lea 0xa7(%rip),%rsi这一行，它将一个地址加载到rsi寄存器中。这个地址(0x400704)就是字符串"secret"的存储位置。

5.2 查看字符串数据

我们可以验证这一点：

objdump -s -j .rodata crackme

输出中会显示：

Contents of section .rodata: 400700 01000200 73656372 65740000 436f6e67 ....secret..Cong 400710 72617475 6c617469 6f6e7321 20596f75 ratulations! You 400720 20637261 636b6564 20697421 0057726f cracked it!.Wro 400730 6e672070 61737377 6f726421 00557361 ng password!.Usa 400740 67653a20 2573203c 70617373 776f7264 ge: %s <password 400750 3e00 >.

确实，地址0x400704处存储着字符串"secret"。

5.3 绕过密码检查

理解了程序的工作原理后，我们可以通过修改二进制文件或使用调试器来绕过密码检查。虽然这超出了本文的范围，但它展示了反汇编和二进制分析的实际应用价值。

6. 扩展工具与技术

虽然objdump非常强大，但在实际二进制分析工作中，我们通常会结合其他工具使用：

6.1 readelf

readelf是专门用于分析ELF文件的工具，比objdump在某些方面更专业：

# 查看ELF头 readelf -h hello # 查看节头表 readelf -S hello # 查看符号表 readelf -s hello # 查看动态段信息 readelf -d hello

6.2 nm

nm工具用于查看符号表，对于分析函数和变量非常有用：

nm hello

6.3 strings

strings工具可以提取文件中的所有可打印字符串：

strings hello

6.4 GDB

GNU调试器不仅可以用于调试，还可以用于二进制分析：

gdb hello (gdb) disassemble main (gdb) x/s 0x4005c0 # 查看地址处的字符串

6.5 二进制分析框架

对于更复杂的分析，可以考虑使用专门的二进制分析框架：

• radare2：开源逆向工程框架
• Ghidra：NSA开发的逆向工程工具
• IDA Pro：商业逆向工程软件

7. 安全注意事项与最佳实践

在进行二进制分析时，需要注意以下安全事项：

1. 合法性：只分析你有权限分析的程序，不要逆向专有软件除非你有明确的授权
2. 隔离环境：在虚拟机或专用环境中分析未知二进制文件
3. 版本控制：对分析的二进制文件进行哈希校验，确保分析的一致性
4. 文档记录：详细记录分析过程和发现，便于后续参考
5. 工具验证：确保使用的分析工具来自可信来源

提示：对于生产环境的关键二进制文件，建议保留调试符号和编译选项记录，这将大大简化后续的调试和分析工作。