Android中ELF文件结构浅析(一)

一、ELF文件头(elf_header)

可以用以下这个数据结构体来描述文件头。

struct Elf64_Ehdr {
  unsigned char e_ident[16];
  Elf64_Half e_type;
  Elf64_Half e_machine;
  Elf64_Word e_version;
  Elf64_Addr e_entry;
  Elf64_Off e_phoff;
  Elf64_Off e_shoff;
  Elf64_Word e_flags;
  Elf64_Half e_ehsize;
  Elf64_Half e_phentsize;
  Elf64_Half e_phnum;
  Elf64_Half e_shentsize;
  Elf64_Half e_shnum;
  Elf64_Half e_shstrndx;
};

其中各个成员的意义如下：

1. e_ident

从头开始的16个字节含有 ELF 文件的识别标志，并且提供了一些用于解码和解析文件内容的数据，是不依赖于具体操作系统的。

0000 7F 45 4C 46 02 01 01 00 00 00 00 00 00 00 00 00

1.1 File identification

是ELF文件开头的4个字节也就是文件标识EI_MAG[0] ~ EI_MAG[3]，这4个字节的内容是固定的。

EI_MAG[0]	0x7F
EI_MAG[1]	0x45	E
EI_MAG[2]	0x4C	L
EI_MAG[3]	0x46	F

1.2 EI_CLASS

是上面块中第五个字节，代表的是目标文件的类型

ELFCLASSNONE	0	无效的种类
ELFCLASS32	1	32位对象
ELFCLASS64	2	64位对象

1.3 EL_DATA

第六个字节代表着文件中数据采用的编码格式

0x1表示采用小端序，0x2为大端序

1.4 EI_VERSION

第7个字节EI_VERSION指明 ELF 文件头的版本，目前这个版本号是 EV_CURRENT，即“1”

1.5 EI_OSABI

第8个字节EI_OSABI表示操作系统/ABI标识

1.6 EI_ABIVERSION

第9个字节 ABI版本。

1.7 EI_PAD

第10个字节到第15个字节暂时不使用，留作以后扩展，在实际的文件中应被填 0 补充，其它程序在读取 ELF 文件头时应该忽略这些字节。

1.8 EI_NIDENT

第16个字节是e_ident[]的大小。

2. e_type

0010 03 00 B7 00 01 00 00 00 20 13 00 00 00 00 00 00

ET_NONE	0	没有文件类型
ET_REL	1	可重定位文件
ET_EXEC	2	可执行文件
ET_DYN	3	动态链接库文件
ET_CORE	4	Core 文件
ET_LOPROC	0xFF00	处理器指定下限
ET_HIPROC	0xFFFF	处理器指定上限

3. e_machine

这一项指定了当前文件可以运行的机器架构

0010 03 00 B7 00 01 00 00 00 20 13 00 00 00 00 00 00

enum MachineArchitecture {
  EM_NONE = 0,       // No machine.
  EM_386 = 3,        // Intel 架构.
  EM_ARM = 40,       // ARM 架构.  0x28
  EM_X86_64 = 62,    // Intel x86-64 架构. 0x3E
  EM_AARCH64 = 183,  // ARM 64位 架构.  0xB7
  // 其他值略过
};

4. e_version

0010 03 00 B7 00 01 00 00 00 20 13 00 00 00 00 00 00

同上1.4

5. e_entry

0010 03 00 B7 00 01 00 00 00 20 13 00 00 00 00 00 00

程序入口点地址

6. e_phoff

0020 40 00 00 00 00 00 00 00 E0 41 00 00 00 00 00 00

是指明程序头表(program header table)开始处在文件中的偏移量。如果没有程序头表，该值应设为0。

即0x40也是elf_header的大小。

7. e_shoff

0020 40 00 00 00 00 00 00 00 E0 41 00 00 00 00 00 00

是指明节头表(section header table)开始处在文件中的偏移量。如果没有节头表，该值应设为 0。

8. e_flags

0030 00 00 00 00 40 00 38 00 08 00 40 00 18 00 17 00

这一项给出文件中与特定处理器相关的标志。

#define	EF_MIPS_NOREORDER	0x00000001
#define	EF_MIPS_PIC		0x00000002	/* Contains PIC code */
#define	EF_MIPS_CPIC		0x00000004	/* STD PIC calling sequence */
#define	EF_MIPS_UCODE		0x00000010
#define	EF_MIPS_ABI2		0x00000020	/* N32 */
#define	EF_MIPS_OPTIONS_FIRST	0x00000080
#define	EF_MIPS_ABI		0x0000F000
#define	EF_MIPS_ABI_O32		0x00001000
#define	EF_MIPS_ABI_O64		0x00002000
#define	EF_MIPS_ABI_EABI32	0x00003000
#define	EF_MIPS_ABI_EABI64	0x00004000
#define	EF_MIPS_ARCH_ASE	0x0F000000	/* Architectural extensions */
#define	EF_MIPS_ARCH_ASE_MDMX	0x08000000	/* MDMX multimedia extension */
#define	EF_MIPS_ARCH_ASE_M16	0x04000000	/* MIPS-16 ISA extensions */
#define	EF_MIPS_ARCH		0xF0000000	/* Architecture field */
#define	EF_MIPS_ARCH_1		0x00000000	/* -mips1 code */
#define	EF_MIPS_ARCH_2		0x10000000	/* -mips2 code */
#define	EF_MIPS_ARCH_3		0x20000000	/* -mips3 code */
#define	EF_MIPS_ARCH_4		0x30000000	/* -mips4 code */
#define	EF_MIPS_ARCH_5		0x40000000	/* -mips5 code */
#define	EF_MIPS_ARCH_32		0x50000000	/* -mips32 code */
#define	EF_MIPS_ARCH_64		0x60000000	/* -mips64 code */
#define	EF_MIPS_ARCH_32R2	0x70000000	/* -mips32r2 code */
#define	EF_MIPS_ARCH_64R2	0x80000000	/* -mips64r2 code */

9. e_ehsize

0030 00 00 00 00 40 00 38 00 08 00 40 00 18 00 17 00

此字段表明 ELF 文件头的大小，以字节为单位。

10. e_phentsize

0030 00 00 00 00 40 00 38 00 08 00 40 00 18 00 17 00

此字段表明在程序头表(program header table)中每一个表项的大小，以字节为单位，每个表项的大小相同。

11. e_phnum

0030 00 00 00 00 40 00 38 00 08 00 40 00 18 00 17 00

此字段表明程序头表中总共有多少个表项。

如上图所示

e_phentsize 乘以 e_phnum 就得到了整个program header table的大小。

12. e_shentsize

0030 00 00 00 00 40 00 38 00 08 00 40 00 18 00 17 00

此字段表明在节头表(section header table)中每一个表项的大小，一个节头是节头表中的一项；节头表中所有项占据的空间大小相同。

13. e_shnum

0030 00 00 00 00 40 00 38 00 08 00 40 00 18 00 17 00

此字段表明节头表中总共有多少个表项。

如上图所示

e_shentsize 乘以 e_shnum，就得到了整个section header table的大小。

14. e_shstrndx

0030 00 00 00 00 40 00 38 00 08 00 40 00 18 00 17 00

节头表中与节名字表相对应的表项的索引。如果文件没有节名字表，此值应设置为 SHN_UNDEF。

0x17转为十进制是23