offset de données build-id dans le fichier ELF
J'ai besoin de modifier la build-idsection des notes ELF. J'ai découvert que c'était possible ici . J'ai également découvert que je peux le faire en modifiant ce code . Ce que je n'arrive pas à comprendre, c'est l'emplacement des données. Voici de quoi je parle.
$ eu-readelf -S myelffile
Section Headers:
[Nr] Name Type Addr Off Size ES Flags Lk Inf Al
...
[ 2] .note.ABI-tag NOTE 000000000000028c 0000028c 00000020 0 A 0 0 4
[ 3] .note.gnu.build-id NOTE 00000000000002ac 000002ac 00000024 0 A 0 0 4
...
$ eu-readelf -n myelffile
Note section [ 2] '.note.ABI-tag' of 32 bytes at offset 0x28c:
Owner Data size Type
GNU 16 GNU_ABI_TAG
OS: Linux, ABI: 3.14.0
Note section [ 3] '.note.gnu.build-id' of 36 bytes at offset 0x2ac:
Owner Data size Type
GNU 20 GNU_BUILD_ID
Build ID: d75a086c288c582036b0562908304bc3a8033235
.note.gnu.build-idsection est de 36 octets. L'ID de construction est de 20 octets. Quels sont les 16 autres octets ?
J'ai joué un peu avec le code et j'ai lu 36 octets de myelffileat offset 0x2ac. Vous avez ce qui suit 040000001400000003000000474e5500d75a086c288c582036b0562908304bc3a8033235.
Ensuite, j'ai décidé d'utiliser Elf64_Shdrdefinition , donc j'ai lu les données à l'adresse 0x2ac + sizeof(Elf64_Shdr.sh_name) + sizeof(Elf64_Shdr.sh_type) + sizeof(Elf64_Shdr.sh_flags)et j'ai obtenu mon identifiant de construction, d75a086c288c582036b0562908304bc3a8033235. Il est logique de comprendre pourquoi je l'ai eu sizeof(Elf64_Shdr.sh_name) + sizeof(Elf64_Shdr.sh_type) + sizeof(Elf64_Shdr.sh_flags) = 16 bytes, mais selon la Elf64_Shdrdéfinition , je devrais pointer vers Elf64_Addr sh_addr, c'est-à-dire l'adresse virtuelle de la section.
Donc, ce qui n'est pas clair pour moi, c'est quels sont les 16 autres octets de la section ? Que représentent-ils ? Je ne peux pas concilier la Elf64_Shdrdéfinition et les résultats que j'obtiens de mes expériences.
Réponses
La section .note.gnu.build-id est de 36 octets. L'ID de construction est de 20 octets. Quels sont les 16 autres octets ?
Chaque .note.*section commence par Elf64_Nhdr(12 octets), suivi d'un nom de note de taille variable (aligné sur 4 octets) ( GNU\0ici), suivi de données de note réelles (alignées sur 4 octets). Documents .
En regardant /bin/datesur mon système:
eu-readelf -Wn /bin/date
Note section [ 2] '.note.ABI-tag' of 32 bytes at offset 0x2c4:
Owner Data size Type
GNU 16 GNU_ABI_TAG
OS: Linux, ABI: 3.2.0
Note section [ 3] '.note.gnu.build-id' of 36 bytes at offset 0x2e4:
Owner Data size Type
GNU 20 GNU_BUILD_ID
Build ID: 979ae4616ae71af565b123da2f994f4261748cc9
Quels sont les octets à l'offset 0x2e4?
dd bs=1 skip=$((0x2e4)) count=36 < /bin/date | xxd
00000000: 0400 0000 1400 0000 0300 0000 474e 5500 ............GNU.
00000010: 979a e461 6ae7 1af5 65b1 23da 2f99 4f42 ...aj...e.#./.OB
00000020: 6174 8cc9 at..
Nous avons donc : .n_namesz == 4, .n_descsz == 20, .n_type == 3 == NT_GNU_BUILD_ID, suivi d'un GNU\0nom de note de 4 octets, suivi de 20 octets d'octets d'ID de construction réels 0x97, 0x9a, etc.