转载自：https://blog.csdn.net/yyttiao/article/details/7358578
今天主要讲述的是ELF 文件的另一个大块叫节头(Section Headers),那么什么叫节头呢.节头里面分散着不同的段,有.bss .text .init .data .got .shstrtab 等等.节头表主要是在连接的角度看待ELF的.每一个节都保存着该节特有的数据,由于节中数据的用途不同,节被分为不同的类型,每种类型都又自己组织数据的方式.有的节储存着一些字符串,例如前面提过的.shstrtab 这个节,就专门储存节对应名词的字符串.今天这一节内容,我们就用使用这个节,获取节的名字.

下面按照我们每一次的惯例,先看一下结构体说明,然后再逐一介绍每一个成员,在前面几节中,我们主要是对ELF进行一个全面的了解,为以后进行HOOK做充分的准备.因为那部分得在ELF文件的基础上去实施的,好了.加油吧~~~

详细说明请参阅 elf.h

/* Section header.  */
typedef struct
{
  Elf32_Word    sh_name;     /* Section name (string tbl index) */
  Elf32_Word    sh_type;     /* Section type */
  Elf32_Word    sh_flags;    /* Section flags */
  Elf32_Addr    sh_addr;     /* Section virtual addr at execution */
  Elf32_Off sh_offset;   /* Section file offset */
  Elf32_Word    sh_size;     /* Section size in bytes */
  Elf32_Word    sh_link;     /* Link to another section */
  Elf32_Word    sh_info;     /* Additional section information */
  Elf32_Word    sh_addralign;    /* Section alignment */
  Elf32_Word    sh_entsize;  /* Entry size if section holds table */
} Elf32_Shdr;

sh_name: 该成员是字符串表中的一个索引

通过该索引就可以获取这个节所对应的节的名字.通常同节的类型(sh_type)来判断当前是属于什么节.

sh_type: 节的类型

这个成员可以告诉我们这个节里面存放的到底是什么数据,对于不同的数据,我们再通过不同的数据结构去获取数据

sh_flags: 节的属性

这个成员指定该节的内容是否可读可写等属性,具体定义如下:

#define SHF_WRITE        (1 << 0)
/* Writable */
#define SHF_ALLOC        (1 << 1)
/* Occupies memory during execution */
#define SHF_EXECINSTR    (1 << 2)
/* Executable */
#define SHF_MERGE        (1 << 4)
/* Might be merged */
#define SHF_STRINGS  (1 << 5)
/* Contains nul-terminated strings */
#define SHF_INFO_LINK    (1 << 6)
/* `sh_info' contains SHT index */
#define SHF_LINK_ORDER(1 << 7)
/* Preserve order after combining */
#define SHF_OS_NONCONFORMING (1 << 8)
/* Non-standard OS specific handling required */

sh_addr: 指向进程空间内的虚拟地址

如果这个节需要被加载到进程中,那么该字段就指向内存中的虚拟地址

sh_offset: 指向文件空间内的绝对偏移(相对整个文件的起始地址的)

该地址可以获取到很多关于节内容的信息.

sh_size: 节的内容大小

如果此节在文件中占用一定的字节,那么这个字段给出了该节所占用的字节大小,

如果此节不存在于文件却在内存中,那么这个字段给出了该节在内存中的字节大小

sh_link: 如果这个节于别的节相连,那么这个字段给出了相关的节在节头中的索引

sh_info: 额外的信息

对于部分节来说,还有一些额外的信息.

sh_addralign: 地址对齐

对于双字节等数据格式,很多时候必须对数据进行必要的对齐,来保证数据的准确存储,这个数是2的整数次幂,对齐只能有2字节对齐,4字节对齐,8字节对齐等,如果是0或者1表示这个节不用对齐.

sh_entsize: 指定节内部数据的大小

这个字段代表字节大小的数,对于某些字节才有意义,例如动态符号节来说,这个字段就给出动态符号表中每一个符号结构的字节大小.

上面说到,要获取节的名字要怎么做呢.sh_name字段只是保存了一个值,并不是字符串地址,那要怎么才能获取字符串呢.在前面讲述的第一个ELF Head的时候有这样一个字段e_shstrndx这个成员就是指向字符串表的索引,就可以知道找到节点中的字符串节表了.

同样在遍历节头的时候,如果字段类型等于SHT_STRTAB,那么对应的也就是字符串表.但是为了方便,在ELF Head中已经指出了他所对应的索引了.在字符串表中是以一系列的'\0'结尾的字符串,在这个节的第一个字节也是0,为什么第一个字节会是0呢,其实这就是空字符串.在这个节的最后一个字节也是0. 因为字符串的最后一个都市'\0'.

既然找到了字符串表,那怎么获取他里面的名字呢,其实可以把字符串表当成一个很大的char型数组sh_name就是所需要的字符串的首字符,通过字符串表首地址加上相对的偏移量就是对应的字符串的名字了.

下面我们就来通过代码来加深印象..

示例代码:

#include "readShdr.h"
SectionType secTyoe[] = {
    {0, "NULL"},
    {1, "SHT_PROGBITS"},
    {2, "SHT_SYMTAB"},
    {3, "SHT_STRTAB"},
    {4, "SHT_RELA"},
    {5, "SHT_HASH"},
    {6, "SHT_DYNAMIC"},
    {7, "SHT_NOTE"},
    {8, "SHT_NOBITS"},
    {9, "SHT_REL"},
    {10, "SHT_SHLIB"},
    {11, "SHT_DYNSYM"},
    {14, "SHT_INIT_ARRAY"},
    {15, "SHT_FINI_ARRAY"},
    {16, "SHT_PREINIT_ARRAY"},
    {17, "SHT_GROUP"},
    {18, "SHT_SYMTAB_SHNDX"},
    {19, "SHT_NUM"},
    {0x60000000, "SHT_LOOS"},
    {0x6ffffff6, "SHT_GNU_HASH"},
    {0x6ffffff7, "SHT_GNU_LIBLIST"},
    {0x6ffffff8, "SHT_CHECKSUM"},
    {0x6ffffffa, "SHT_LOSUNW"},
    {0x6ffffffb, "SHT_SUNW_move"},
    {0x6ffffffc, "SHT_SUNW_COMDAT"},
    {0x6ffffffd, "SHT_SUNW_syminfo"},
    {0x6ffffffe, "SHT_GNU_verdef"},
    {0x6fffffff, "SHT_GNU_verneed"},
    {0x70000000, "SHT_LOPROC"},
    {0x7fffffff, "SHT_HIPROC"},
    {0x80000000, "SHT_LOUSER"},
    {0x8fffffff, "SHT_HIUSER"},
};
char *findSecTypeName(unsigned int type)
{
    int i = 0;
    for (i = 0; i < sizeof(secTyoe) / sizeof(SectionType); i++)
    {
        if (secTyoe[i].type == type)
        {
            return secTyoe[i].typeName;
            break;
        }
    }
    return secTyoe[0].typeName;
}
void displayShdr(Elf32_Ehdr *ehdr, Elf32_Shdr *shdr)
{
    int py = ehdr->e_shstrndx * sizeof(Elf32_Shdr);
    Elf32_Shdr *symtab = (Elf32_Shdr *)((char *)shdr + py);
    printf("symtab 0x%x\n", symtab);
    char *szShdrName = (char *)(symtab->sh_offset + (char *)ehdr);
    printf("e_shstrndx=%dsizeof(Elf32_Shdr)=%dshdr=x%x\n", ehdr->e_shstrndx, sizeof(Elf32_Shdr), shdr);
    printf("Section Headers: 0x%x\n", szShdrName);
    int i = 0;
    printf("[Nr] %-20s%-20s%-5s%-8s%-6s%-6s%-6s%-4s%-4s%-2s\n",
           "Name", "Type",
           "Flg", "Addr", "Off", "Size", "Lk", "Inf", "Al", "ES");
    for (i = 0; i < ehdr->e_shnum; i++)
    {
        printf("[%-2d] %-20s", i, szShdrName + shdr->sh_name);
        printf("%-20s", findSecTypeName(shdr->sh_type));
        printf("%-5x", shdr->sh_flags);
        printf("%-08x", shdr->sh_addr);
        printf("%-06x", shdr->sh_offset);
        printf("%-06x", shdr->sh_size);
        printf("%-4x", shdr->sh_link);
        printf("%-4x", shdr->sh_info);
        printf("%-4x", shdr->sh_addralign);
        printf("%-02x\n", shdr->sh_entsize);
        shdr++;
    }
}