几个命令查看ELF文件的“秘密”

淡淡的烟草味﹌ 2023-06-07 12:08 17阅读 0赞

首发：公众号【编程珠玑】

作者：守望先生

网站：[https://www.yanbinghu.com/2019/10/13/54745.html][https_www.yanbinghu.com_2019_10_13_54745.html]

## 前言 ##

在Linux中，可执行文件的格式是ELF格式，而有一些命令可以帮助我们了解它们更多的“秘密”，以此来帮助我们解决问题。

## 示例程序 ##

我们的示例程序如下：

//来源：公众号【编程珠玑】
    //hello.c
    #include<stdio.h>
    int main(int argc,char *argv[])
    {
        printf("hello shouwangxiansheng\n");
        return 0 ;
    }

编译：

$ gcc -o hello hello.c

得到hello可执行文件。

## 查看文件类型 ##

file命令可以用来查看文件类型：

$ file hello
    hello: ELF 64-bit LSB executable, x86-64, version 1 (SYSV), dynamically linked, interpreter /lib64/l, for GNU/Linux 2.6.32, BuildID[sha1]=8f1de0f59bdfe9aaff85ade6898173aa436b296a, not stripped

从结果中，我们可以知道，它是ELF可执行文件，且是64位程序，有动态链接，最后的not stripped也表明了它保留了符号表信息或者调试信息。

如果不是可执行文件，它的信息是怎样的呢？举个例子：

$ file hello.c
    hello.c: C source, UTF-8 Unicode text

看到了吧。

## 查看ELF头 ##

readelf用于查看ELF文件，而：

$ readelf -h hello
    ELF Header:
      Magic:   7f 45 4c 46 02 01 01 00 00 00 00 00 00 00 00 00 
      Class:                             ELF64
      Data:                              2's complement, little endian
      Version:                           1 (current)
      OS/ABI:                            UNIX - System V
      ABI Version:                       0
      Type:                              EXEC (Executable file)
      Machine:                           Advanced Micro Devices X86-64
    (略)

可以看到它是EXEC，即可执行文件，且小端程序，运行于X86-64。在交叉编译的时候，这个文件头的信息也非常有用。例如你在x86的机器上交叉编译出powerpc的可执行文件，在powerpc上却不被识别，不能运行，不如用readelf看看它的Machine字段，是不是没有编译好。

## 查找ELF文件中的字符串 ##

例如，你在文件中写入了版本号或者特殊字符串，可以通过strings命令搜索到：

$ strings hello|grep shouwang
    hello shouwangxiansheng

## 查看ELF文件各段大小 ##

$ size hello
       text       data     bss     dec     hex filename
       1210        552       8    1770     6ea hello

这里可以看到代码段，数据段各自占多少，必要时候还可以根据需要优化代码，减少磁盘空间占用。

## 查看链接的动态库 ##

运行时出现找不到动态库？不如看看它链接了哪些库吧：

$ ldd hello
        linux-vdso.so.1 =>  (0x00007ffd16386000)
        libc.so.6 => /lib/x86_64-linux-gnu/libc.so.6 (0x00007f507e083000)
        /lib64/ld-linux-x86-64.so.2 (0x00007f507e44d000)

可以看到它链接的动态库是/lib/x86\_64-linux-gnu/libc.so.6，而如果该文件不存在，则运行时将会出错。这里也可以参考《[动态库的制作和使用][Link 1]》。

## 查看符号表 ##

新加的函数或者全局变量不知道有没有编译进去？如何看看符号表里有没有吧（前提是符号表没有被去掉）：

$ nm hello |grep main  #符号表中查找main函数
                     U __libc_start_main@@GLIBC_2.2.5
    0000000000400526 T main

如果没有找到或者前面是U，没有地址，表明在这个elf文件中没有定义这个函数。

链接出问题的时候很有用奥。

## 为ELF文件瘦身 ##

前面通过file查看文件时，看到有not stripped的字样，由于它里面包含了一些符号表信息，因为文件会稍大，如果去掉，二进制文件将会变小，但是里面的符号表信息也就没有了，将会影响问题定位。

$ ls -lh hello  #瘦身前
    -rwxrwxr-x 1 root root 8.4K
    $ strip hello
    $ ls -lh hello #瘦身后
    -rwxrwxr-x 1 root root 6.2K

可以看到，瘦身后二进制文件变得更小。当可执行文件越大时，瘦身效果就会更明显了。当然放心，这不会影响程序的正常运行，只是对调试和问题定位有影响。

这个时候再看符号表：

$ nm hello
    nm: hello: no symbols

## 打印文件校验和 ##

二进制文件传输过程中有没有被损坏或者是否是同一个版本，看看校验和以及程序块计数吧：

$ sum hello
    33513     7

当然你也可以使用：

$ md5sum hello
    521efed706c3b485dd3b5e96e48b138a  hello

来比对md5值。

## 总结 ##

ELF文件中隐藏了丰富的信息，只要使用得当，将会帮助我们更好地进行开发或者问题的定位。

相关阅读：

*  [Linux常用命令-开发调试篇][Linux_-]
 *  [静态库和动态库][Link 2]
 *  [如何制作属于自己的静态库？][Link 3]

关注公众号【编程珠玑】，获取更多Linux/C/C++/Python/Go/算法/工具等原创技术文章。后台免费获取经典电子书和视频资源

![format_png][]

[https_www.yanbinghu.com_2019_10_13_54745.html]: https://www.yanbinghu.com/2019/10/13/54745.html
[Link 1]: http://mp.weixin.qq.com/s?__biz=MzI2OTA3NTk3Ng==&mid=2649284821&idx=1&sn=dac737847284c7d764adb8964d0fd5ec&chksm=f2f993b2c58e1aa4c61d037e0440792c6bbfa99c137a2f03ca59343778c490869b96b6af9e46&scene=21#wechat_redirect
[Linux_-]: http://mp.weixin.qq.com/s?__biz=MzI2OTA3NTk3Ng==&mid=2649283850&idx=1&sn=6a23eebca91d9071f3963c1e5a90ab28&chksm=f2f9ae6dc58e277b2899bd67d475c6d8928bb5d7726558818023d13fac04b184c8c8c8fc5fe5&scene=21#wechat_redirect
[Link 2]: http://mp.weixin.qq.com/s?__biz=MzI2OTA3NTk3Ng==&mid=2649284771&idx=1&sn=a18cbf1c8d3ca57c5aa875fcf592878c&chksm=f2f993c4c58e1ad219a6ba5ddc3afef1702b5ebb1b8de98664048e8941aa64a8103d8cf6184a&scene=21#wechat_redirect
[Link 3]: http://mp.weixin.qq.com/s?__biz=MzI2OTA3NTk3Ng==&mid=2649284803&idx=1&sn=160b48fbeafbb5bc63e6ea5015c959cb&chksm=f2f993a4c58e1ab23edf9c1f83d386fcb6c2b400367f3b35d9296f8df198a8922c2bb89f87ae&scene=21#wechat_redirect
[format_png]: /images/20230601/888dab8f6f3541b2b7addc70582a5190.png