elf文件结构分析
elf简介
ELF(Excutable and Linking Format)是可执行与链接格式的缩写，是linux下最重要的一种可执行文件格式。如想深入了解linux下的程序运行原理，对elf文件组织格式的了解是必不可少的。
网上有很多elf结构分析相关的文章，这里推荐一个pdf《ELF文件格式分析.pdf》，细节讲的比较系统，大家可以参考，可以到https://download.csdn.net/download/t3swing/10302876下载。
elf格式介绍
linux可以通过readelf命令来查看elf文件格式，elf格式是一个多级索引结构，基本结构如下图所示：
有几个概念：
- Section：一般翻译为节，很多文章都与段等同了，但一般说的段指的是segment。每个节都定义了具体独立的功能，elf链接的时候，多个目标（.o）文件的节会合到一起。elf的通过节表来索引具体的节，每个节的解析方式都可能不一样，可以对照着文档解析与理解不同节的含义。
- segment：段是节的集合，一个段包含多个同属性（读、写、执行属性）的节，一般用在elf加载运行过程中，segment会指定地址范围，落在该地址范围的section，程序执行时，对应的section会加载该段里面。至于节和段的地址是怎么生成的，这都是ld链接程序确定的，ld命令参数非常多，甚至可以自定义segment中包含的节，同一份代码，不同平台生成的elf段和节的对应关系都可能不一样。
- Program：程序表，elf中主要用来管理segment。
注意：上述图只是elf的结构示意图，不代表具体位置，实际上，elf只规定了总头位置，其他的位置都是根据offset与size来确定的，图中也没有体现出segment与section的关系。
elf文件格式解析
可以尝试自己解析elf来加深对elf文件结构的理解，解析elf格式，结构体定义可以直接使用linux下的/usr/include/elf.h头文件，该头文件包含32位和64位的elf解析相关结构体。
- linux下解析elf直接引用/usr/include/elf.h即可。
- windows下，可以把/usr/include/elf.h复制过去，并替换基础变量名称定义即可。如下：
#include 改成
typedef signed char int8_t;
typedef short int int16_t;
typedef int int32_t;
typedef long long int int64_t;
/* Unsigned. */
typedef unsigned char uint8_t;
typedef unsigned short int uint16_t;
typedef unsigned int uint32_t;
typedef unsigned long long int uint64_t;解析elf之前，需先了解一下elf头文件中的各种缩写，如下：
- hdr、h：header的缩写，如Elf32_Ehdr、Elf32_Shdr、sh_name等；
- e：elf缩写，如Ehdr，e_type中的e等；
- s：section节的缩写，如Shdr、sh_size等；
- p：Program程序的缩写，如Phdr、p_type等；
- t ：table表的缩写，elf是多级索引结构，通过表来完成；
- sym：Symbol符号的缩写；
- INTERP : interpreter解释器缩写；
elf头文件命令习惯用单个字母组合完成，如sht表示section header table即节头表，st表示symbol table即符号表，缩写有很多，elf.h的注释一般都解释了缩写代表什么意思。
对照着上节的结构体的结构图和elf.h很容易解析elf文件结构，有一个细节需注意，解析节时必须先找到.shstrtab这个包含节头名称字符串表的节，只有知道了各节头的名称，才能继续解析各个节的内容。字符串表（string table）有多个（如.shstrtab、.strtab、.dynstr等），不同情况下用不同的字符串解析，如节头名称不能用.strtab或者.dynstr字符串表去解析。
自己尝试解析elf文件，可以很快的掌握elf结构，比看文档快，熟悉结构前，不要对着二进制去看，效率太低。细节方面可以查看文档，下面是一个简单的elf解析程序，仿照readelf输出格式，主要解析了节头、段头及符号表部分信息，大家可以参考，源码如下：
#include