时间戳

首页 > 解决方案 > 如何将 ELF 文件的内容转储到特定地址？

gdb - 如何将 ELF 文件的内容转储到特定地址？

问题描述

使用 GDB，如果我加载一个 ELF 图像并给它一个地址，我可以让 GDB 将 ELF 文件的内容转储到该地址。例如：

p *((MYSTRUCT *)0x06f8f5b0)
$1 = {
  filename = 0x6f8f5e0 <bla> "this is a string", format = 0x6f8f640 <pvt> "This is another string!\n", lineNumber = 148, argumentCount = 0 '\000', printLevel = 1 '\001'}

这是因为 GDB 已经加载了 ELF 映像并解析了它的重定位表，而且它也知道 MYSTRUCT 的布局。

如果没有 GDB，我该如何做同样的事情？我实际上并不关心解析 MYSTRUCT。我只想在位置 0x06f8f5b0 转储 20 个字节。我试过玩 readelf 和 objdump，但我无法得到我想要的。

Python 代码（例如使用 pyelftools）也是可以接受的。

标签： gdbelfobjdumpreadelf

解决方案

我只想在位置 0x06f8f5b0 转储 20 个字节。

您的问题仅在位置相关（即ET_EXEC）二进制（任何其他二进制可以在任意地址加载）的上下文中才有意义。

对于位置相关的二进制文件，答案很简单：

  • 遍历程序标头，直到找到“覆盖”所需地址的标头，
  • 从.p_vaddr并.p_offset计算文件中的偏移量
  • 使用lseek和read读取感兴趣的字节。

为了使这一点更具体，这里有一个例子：

// main.c
const char foo[] = "This is the song that never ends.";
int main() { printf("&foo = %p\n", &foo[0]); return 0; }

gcc -w -no-pie main.c

./a.out ; ./a.out
&foo = 0x402020
&foo = 0x402020

readelf -Wl a.out | grep LOAD

  Type           Offset   VirtAddr           PhysAddr           FileSiz  MemSiz   Flg Align
  LOAD           0x000000 0x0000000000400000 0x0000000000400000 0x000438 0x000438 R   0x1000
  LOAD           0x001000 0x0000000000401000 0x0000000000401000 0x0001bd 0x0001bd R E 0x1000
  LOAD           0x002000 0x0000000000402000 0x0000000000402000 0x000190 0x000190 R   0x1000
  LOAD           0x002e10 0x0000000000403e10 0x0000000000403e10 0x000220 0x000228 RW  0x1000

在这里，我们看到我们关心的地址是第 3LOAD段的 0x20 字节，它从0x002000文件的偏移量开始。

因此，我们感兴趣的字节位于0x2020文件的偏移量处。

让我们检查：

dd if=a.out bs=1 count=15 skip=$((0x002020)) 2>/dev/null
This is the son

QED。

推荐阅读