linux汇编之——(1)ELF:Linux可执行程序文件格式

Windows的应用程序的格式是PE格式文件，LINUX的是ELF(“Executable and Linking Format”)文件格式。

 

一个手工打造的ELF文件，代码如下：

 7F 45 4C 46 01 01 01 00 00 00 00 00 00 00 00 00 

 02 00 03 00 01 00 00 00 60 00 48 80 34 00 00 00

 00 00 00 00 00 00 00 00 34 00 20 00 01 00 00 00

 00 00 00 00 01 00 00 00 00 00 00 00 00 00 48 80 

 00 00 48 80 7F 00 00 00 7F 00 00 00 05 00 00 00 

 00 10 00 00 00 00 00 00 00 00 00 00 00 00 00 00 

 B8 04 00 00 00 BB 01 00 00 00 68 6F 6B 21 00 8b 

 CC BA 03 00 00 00 CD 80 B8 01 00 00 00 CD 80 00

 

其中语句执行体是输出“0K!”的字符串，如下机器码：

B8 04 00 00 00 BB 01 00 00 00 68 6F 6B 21 00 8B CC BA 03 00 00 00 CD 80 B8 01 00 00 00 CD 80

 

把这个ELF文件里16进制数字保存为二进制文档（方法可以是把16进制数值保存到TXT文件再转换成BIN文档），用IDA进行静态反汇编。由于我是在WINDOWS下用IDA进行的反汇编，因此汇编语言还是WINDOWS的格式：

public start

start proc near

mov    eax, 4

mov    ebx, 1          ; status

push   216B6Fh

mov    ecx, esp        ; addr

mov    edx, 3          ; len

int    80h             ; LINUX -sys_write

mov    eax, 1

int    80h             ; LINUX - sys_exit

start endp

 

LOAD ends

 

end start

根据记忆依稀记得 “eax”,”ebx”,”ecx”,”edx”四组动态寄存器，在函数调用的时候存放参数（^_^没办法，大学学习的汇编早还给老师了-_-!）。根据旁边的注释阅读汇编代码后知（还有一边猜测）：

Mov       eax  4          ;调用系统内核功能号4，写文件”sys_write”

Mov        ebx  1          ;参数1，文件描述符1，标准输出”std_out”

Push             216b6f          ;参数2，因为x86是小端，所以应该是“6FB621”即“OK!”。把字符串压入堆栈寄存器esp

Mov        ecx, esp             ;参数2,字符串传入

Mov        edx, 3          ;参数3，字符串长度

Int          80h               ;系统调用

 

Mov        eax,  1         ;系统调用号1：退出“sys_exit”

Int          80h

在Linux下用readelf对ELF文件格式进行解析