deslocamento de dados build-id no arquivo ELF
Preciso modificar a build-id
seção de notas ELF. Eu descobri que é possível aqui . Também descobri que posso fazer isso modificando este código . O que não consigo descobrir é a localização dos dados. Aqui está o que eu estou falando.
$ eu-readelf -S myelffile
Section Headers:
[Nr] Name Type Addr Off Size ES Flags Lk Inf Al
...
[ 2] .note.ABI-tag NOTE 000000000000028c 0000028c 00000020 0 A 0 0 4
[ 3] .note.gnu.build-id NOTE 00000000000002ac 000002ac 00000024 0 A 0 0 4
...
$ eu-readelf -n myelffile
Note section [ 2] '.note.ABI-tag' of 32 bytes at offset 0x28c:
Owner Data size Type
GNU 16 GNU_ABI_TAG
OS: Linux, ABI: 3.14.0
Note section [ 3] '.note.gnu.build-id' of 36 bytes at offset 0x2ac:
Owner Data size Type
GNU 20 GNU_BUILD_ID
Build ID: d75a086c288c582036b0562908304bc3a8033235
.note.gnu.build-id
seção é de 36 bytes. O ID de compilação é de 20 bytes. Quais são os outros 16 bytes?
Eu brinquei um pouco com o código e li 36 bytes de myelffile
deslocamento 0x2ac
. Obteve o seguinte 040000001400000003000000474e5500d75a086c288c582036b0562908304bc3a8033235
.
Então decidi usar a Elf64_Shdrdefinição , então li os dados no endereço 0x2ac + sizeof(Elf64_Shdr.sh_name) + sizeof(Elf64_Shdr.sh_type) + sizeof(Elf64_Shdr.sh_flags)
e obtive meu ID de construção, d75a086c288c582036b0562908304bc3a8033235
. Faz sentido porque eu entendi, sizeof(Elf64_Shdr.sh_name) + sizeof(Elf64_Shdr.sh_type) + sizeof(Elf64_Shdr.sh_flags) = 16 bytes
, mas de acordo com a Elf64_Shdrdefinição eu deveria estar apontando para Elf64_Addr sh_addr
, ou seja, endereço virtual da seção.
Então, o que não está claro para mim é quais são os outros 16 bytes da seção? O que eles representam? Não consigo conciliar a Elf64_Shdrdefinição e os resultados que estou obtendo de meus experimentos.
Respostas
A seção .note.gnu.build-id tem 36 bytes. O ID de compilação é de 20 bytes. Quais são os outros 16 bytes?
Cada .note.*
seção começa com Elf64_Nhdr
(12 bytes), seguido por (4 bytes alinhados) nome da nota de tamanho variável ( GNU\0
aqui), seguido por (4 bytes alinhados) dados reais da nota. Documentação .
Olhando no /bin/date
meu sistema:
eu-readelf -Wn /bin/date
Note section [ 2] '.note.ABI-tag' of 32 bytes at offset 0x2c4:
Owner Data size Type
GNU 16 GNU_ABI_TAG
OS: Linux, ABI: 3.2.0
Note section [ 3] '.note.gnu.build-id' of 36 bytes at offset 0x2e4:
Owner Data size Type
GNU 20 GNU_BUILD_ID
Build ID: 979ae4616ae71af565b123da2f994f4261748cc9
Quais são os bytes no deslocamento 0x2e4
?
dd bs=1 skip=$((0x2e4)) count=36 < /bin/date | xxd
00000000: 0400 0000 1400 0000 0300 0000 474e 5500 ............GNU.
00000010: 979a e461 6ae7 1af5 65b1 23da 2f99 4f42 ...aj...e.#./.OB
00000020: 6174 8cc9 at..
Portanto, temos: .n_namesz == 4
, .n_descsz == 20
, .n_type == 3 == NT_GNU_BUILD_ID
, seguido pelo nome da nota de 4 bytes GNU\0
, seguido por 20 bytes de bytes de build-id reais 0x97
, 0x9a
, etc.