计算机病毒及其防范技术（第2版）第7章 Linux病毒-补充知识.pptVIP

Linux病毒技术 上海交通大学信息安全工程学院 刘功申 Linux可执行文件格式（ELF） Elf 也就是 “Executable and Linking Format.” Elf 起源于Unix，经改进应用于FreeBSD和Linux等现有类Unix操作系统。 微软的PE格式也学习了ELF格式的优点。 ELF文档服务于在不同的操作系统上目标文件的创建或者执行文件的开发。它分以下三个部分： “目标文件”描述了ELF目标文件格式三种主要的类型。 “程序装载和动态连接”描述了目标文件的信息和系统在创建运行时程序的行为。 “C 语言库”列出了所有包含在libsys中的符号、标准的ANSIC和libc的运行程序，还有libc运行程序所需的全局的数据符号。 三种主要类型： 一个可重定位文件(relocatable file)保存着代码和适当的数据，用来和其他的目标文件一起来创建一个可执行文件或者是一个共享文件。 一个可执行文件(executable file)保存着一个用来执行的程序，该文件指出了exec(BA_OS)如何来创建程序进程映象。 一个共享目标文件（shared object file）保存着代码和合适的数据，用来被下面的两个链接器链接。第一个是链接编辑器，可以和其他的重定位和共享目标文件来创建另一个目标文件。第二个是动态链接器，联合一个可执行文件和其他的共享目标文件来创建一个进程映象。 ELF头 #define EI_NIDENT 16 typedef struct { unsigned char e_ident[EI_NIDENT]; Elf32_Half e_type; Elf32_Half e_machine; Elf32_Word e_version; Elf32_Addr e_entry; Elf32_Off e_phoff; Elf32_Off e_shoff; Elf32_Word e_flags; Elf32_Half e_ehsize; Elf32_Half e_phentsize; Elf32_Half e_phnum; Elf32_Half e_shentsize; Elf32_Half e_shnum; Elf32_Half e_shstrndx; } Elf32_Ehdr； 常用标示 节 一个目标文件的节头表可以让我们定位所有的节。节头表是一个Elf32_Shdr结构的数组。一个节头表的索引是这个数组的下标。 ELF头结构中的e_shoff成员给出了节头表的偏移量(从文件开始计数)。 e_shnum告诉我们节头表中包含了多少个表项； e_shentsize 给出了每个表项的长度。某些节头表索引是保留的，这些索引在目标文件中没有与之对应的节。 typedef struct { Elf32_Word sh_name; Elf32_Word sh_type; Elf32_Word sh_flags; Elf32_Addr sh_addr; Elf32_Off sh_offset; Elf32_Word sh_size; Elf32_Word sh_link; Elf32_Word sh_info; Elf32_Word sh_addralign; Elf32_Word sh_entsize; } Elf32_Shdr; 字符串表 字符串表节（String table sections）保存着以NULL终止的一系列字符，一般我们称为字符串。目标文件使用这些字符串来表示符号和节名。一个字符串的引用是一个字符串表节的索引。 字符表 一个目标文件的符号表（symbol table）保存了定位和重定位程序的定义和引用的信息。一个符号表索引是相应的下标。0表项特指了该表的第一个表项，就象未定义的符号索引一样。 重定位 重定位（Relocation）是链接符号引用和符号定义的过程。比如，当一个程序调用一个函数的时候，相关的调用必须在执行时把控制传送到正确的目标地址。换句话说，重定位文件应当包含如何修改他们的节内容的信息，从而允许可执行文件或共享目标文件为一个进程的程序映像保存正确的信息。 程序