各位老铁们，大家好，今天由我来为大家分享Linux CTF 逆向工程入门，以及的相关问题知识，希望对大家有所帮助。如果可以帮助到大家，还望关注收藏下本站，您的支持是我们最大的动力，谢谢大家了哈，下面我们开始吧！

ELF更详细的描述： e_shoff：节头表的文件偏移量（字节）。如果文件没有节头表，则该成员的值为零。 sh_offset：表示该节距文件头的距离

+--------------------+ | ELF 标头|---++--------- +------------ ----------+ | e_shoff| | |--+|部分|节标题0 || | |---+ sh_offset|标头+------------- -----+ || |节标题1 |---|--+ sh_offset|表+-------------------+ | || |节标题2 |---|--|--++--------- +--------------------+ | | | |第0 节| --+ | | +--------------------+ | | sh_偏移量|第1 节|-----+ | +--------- ----------+ | |第2 节|--------+ +--------------------+

#2.可执行头部（Executable Header）

ELF 文件的第一部分是可执行文件头，其中包含有关ELF 文件类型的信息。 ELF文件在各种平台上通用。 ELF 文件有32 位和64 位版本。文件头内容相同，但部分成员的大小不同。它的文件图也有两个版本：称为“Elf32_Ehdr”和“Elf64_Ehdr”。以下以32 位版本为例：

#define EI_NIDENT (16) typedef struct { unsigned char e_ident[EI_NIDENT]; /* 幻数和其他信息*/Elf32_Half e_type; /* 目标文件类型*/Elf32_Half e_machine; /* 架构*/Elf32_Word e_version; /* 目标文件版本*/Elf32_Addr e_entry; /* 。。点虚拟地址*/Elf32_Off e_phoff; /* 程序头表文件偏移*/Elf32_Off e_shoff; /* 节头表文件偏移*/Elf32_Word e_flags; /* 处理器特定标志*/Elf32_Half e_ehsize; /* ELF 标头大小（以字节为单位）*/Elf32_Half e_phentsize; /* 程序头表项大小*/Elf32_Half e_phnum; /* 程序头表项计数*/Elf32_Half e_shentsize; /* 节头表项大小*/Elf32_Half e_shnum; /* 节头表项计数*/Elf32_Half e_shstrndx; /* 节头字符串表索引*/} Elf32_Ehdr;使用readelf分析ELF文件格式

# readelf -h /bin/lsELF Header: Magic: 7f 45 4c 46 02 01 01 00 00 00 00 00 00 00 00 00 Class: ELF64 Data: 2 的补码，小尾数Version: 1（当前）OS/ABI: UNIX - 系统V ABI 版本： 0 类型： DYN (共享目标文件) 机器： Advanced Micro Devices 程序头： 56 (字节) 程序头数量： 11 节头大小： 64 (字节) 节头数量： 29 节头字符串表索引： 28我们可以使用下面的计算方法来计算整个二进制文件的大小：

大小=e_shoff + (e_shnum * e_shentsize)

大小=节标题的开始+（节标题的数量* 节标题的大小）

size=137000 + (29*64)=138856 计算结果验证：

# ls -l /bin/ls-rwxr-xr-x 1 root root 138856 Aug 29 21:20 /bin/ls

#3、程序头部（Program Headers）

程序头是文件中各个段的描述，用于告诉系统如何创建过程图像。

typedef 结构{ Elf32_Word p_type; /* 段类型*/Elf32_Off p_offset; /* 段文件偏移量*/Elf32_Addr p_vaddr; /* 段虚拟地址*/Elf32_Addr p_paddr; /* 段物理地址*/Elf32_Word p_filesz; /* 文件中的段大小*/Elf32_Word p_memsz; /* 内存中的段大小*/Elf32_Word p_flags; /* 段标志*/Elf32_Word p_align; /* 段对齐*/} Elf32_Phdr;

#4、节表头部（Section Headers）

节头包含描述文件的节信息，例如大小、偏移量等，但这些对于二进制文件的执行流程并不重要。

段或段：段从运行的角度描述elf文件，段从链接的角度描述elf文件。也就是说，在链接阶段，我们可以忽略程序头表来处理这个文件，而在运行阶段，我们可以忽略它。节头表来处理这个程序（所以很多加固方法删除了节头表）。从图中我们还可以看出，段和段是包含的，一个段又包含多个段。

typedef struct { Elf32_Word sh_name; /* 节名（字符串表索引） */Elf32_Word sh_type; /*节类别*/Elf32_Word sh_flags; /* 进程中段执行的特征（读、写） */Elf32_Addr sh_addr; /* 内存中起始虚拟地址*/Elf32_Off sh_offset; /* 该节在文件中的偏移量*/Elf32_Word sh_size; /* 节大小（以字节为单位） */Elf32_Word sh_link; /* 链接到另一个部分*/Elf32_Word sh_info; /* 附加节信息*/Elf32_Word sh_addralign; /* 节对齐*/Elf32_Word sh_entsize; /* 如果节保存表的话条目大小*/} Elf32_Shdr;

#5、表（Section）

#5.1 .bss Section

保存未初始化的数据，例如那些未初始化的全局变量。

#5.2 .data Section

保存初始化数据。

#5.3 .rodata Section

在程序中保存只读数据。

#5.4 .text Section

本节包含程序的实际代码和逻辑流程。使用readelf查看ELF文件表结构

# readelf -S --wide /bin/ls 有29 个节头，从偏移量0x21728:Section Headers: [Nr] Name Type Address Off Size ES Flg Lk Inf Al [ 0] NULL 0000000000000000 000000 000000 00 0 0 0 [ 1] 。 interp PROGBITS 00000000000002a8 0002a8 00001c 00 A 0 0 1 [ 2] .note.ABI-tag 注00000000000002c4 0002c4 000020 00 A 0 4 [ 3] .note.gnu.build-id 注00000000 000002e4 0002e4 000024 00 A 0 0 4 [4 ] .gnu.hash GNU_HASH 0000000000000308 000308 0000c0 00 A 5 0 8 [ 5] .dynsym DYNSYM 00000000000003c8 0003c8 000c90 18 A 6 1 8 [ 6] .dynstr STRTAB 00 00000000001058 001058 0005d8 00 A 0 0 1 [7] .gnu.版本VERSYM 0000000000001630 001630 00010c 02 A 5 0 2 [ 8 ] .gnu.version_r VERNEED 0000000000001740 001740 000070 00 A 6 1 8 [ 9 ] .rela.dyn RELA 00000 000000017b0 0017b0 0013 50 18 A 5 0 8 [10] .rela.plt RELA 0000000000002b00 002b00 0009f0 18 AI 5 24 8 [11] .init PROGBITS 0000000000004000 004000 000017 00 AX 0 0 4 [12] .plt PROGBITS 000000000000402 0 004020 0006b0 10 AX 0 0 16 [13] .plt.got PROGBITS 00000000000046d0 0046d0 000018 08 AX 0 0 8 [ 14] .text PROGBITS 00000000000046f0 0046f0 01253e 00 AX 0 0 16 [15] .fini PROGBITS 0000000000016c30 016c30 000009 00 AX 0 0 4 [16] .rodata PROGB ITS 00 00000000017000 017000 005129 00 A 0 0 32 [17] .eh_frame_hdr程序000000000001c12c 01c12c 0008fc 00 A 0 0 4 [18] .eh_frame 程序000000000001ca28 01ca28 002ed0 00 A 0 0 8 [19] .init_array INIT_ARRAY 00000000000 21390 020390 000008 08 WA 0 0 8 [20] .fini_array FINI_ARRAY 0000000000021398 020398 000008 08 WA 0 0 8 [21] .data.rel.ro PROGBITS 00000000000213a0 0203a0 000a38 00 WA 0 0 32 [22] .dynamic DYNAMIC 0000000000021dd8 020dd8 0001f0 10 WA 6 0 8 [23] .got PROGBITS 00000000 00021fc8 020fc8 000038 08 西澳0 0 8 [24 ] .got.plt PROGBITS 0000000000022000 021000 000368 08 WA 0 0 8 [25] .data PROGBITS 0000000000022380 021380 000268 00 WA 0 0 32 [26] .bss NOBITS 00 0000000002 2600 0215e8 0012d8 00 WA 0 0 32 [27] .gnu_debuglink PROGBITS 0000000000000000 0215e8 000034 00 0 0 4 [28] .shstrtab STRTAB 0000000000000000 02161c 00010a 00 0 0 1Flags: 的关键字W（写入）、A（分配）、X（执行）、M（合并）、S（字符串）、I（信息） 、L（链接顺序）、O（需要额外的操作系统处理）、G（组）、T（TLS）、C（压缩）、x（未知）、o（特定于操作系统）、E（排除）、l（大） , p（特定于处理器）

#6、完成简单的CTF挑战

现在您已经了解了有关ELF 文件的一些知识，让我们找一个CTF 问题来尝试一下。

二进制文件下载地址：https://ufile.io/blvpm

国内下载：https://www.lanzous.com/i34qg6f

1. 运行该程序并向其传递一些随机字符。结果如下：

# ./nix_5744af788e6cbdb29bb41e8b0e5f3cd5 aaaa[+] 没有适合你的标志。 [+] 2.然后用strings检查程序的字符串，看看是否能找到有用的信息

# 字符串nix_5744af788e6cbdb29bb41e8b0e5f3cd5 /lib/ld-linux.so.2Mw1i#'0libc.so.6_IO_stdin_usedexitsprintfputsstrlen__cxa_finalize__libc_start_mainGLIBC_2.1.3Y[^][^_]UWVS[^_]Usage: script.ex keyLength argv[1] 太长。[ + ] 标志是： SAYCURE{%s} [+][+] 没有适合您的标志。 [+]%c%c%c%c%c%c%c%c%c%c%c%c%c% c%c;*2#34;GCC: (Debian 8.2.0-8) 8.2。 0crtstuff.c 可以看到“%c”是打印flag的字符串，数字是15。

3.我们可以查看“.rodata”部分的偏移量，以便更好地查看这些字符。

# readelf -x .rodata nix_5744af788e6cbdb29bb41e8b0e5f3cd5节'.rodata':0x00002000 03000000 01000200 55736167 653a2073 .Usage: s0x0 00 02010 63726970 742e6578 65203c6b 65793e00 cript.exe 密钥。0x00002020 4c656e67 7468206f 66206172 67765b31 argv 的长度[10x00002030 5d20746f 6f206c6f 6e672e00 5b2b5d20]太长.[+]0x00002040 54686520 666c6167 2069733a 20534159 标志为： SAY0x00002050 43555245 7b25737d 205b2b5d 0a000a5b CURE{%s} [+].[0x00002060 2b5d204e 6f20666c 61672066 6f722079 +] y 没有标志0x00002070 6f752e20 5b2b5d00 25632563 25632563 ou。 [+].%c%c%c%c0x00002080 25632563 25632563 25632563 %c%c%c%c%c% c%c0x00002090 25632563 256300 %c%c%c。 4. 检查符号表（Symbols）。使用nm命令查看库文件的符号。

# nm -D nix_5744af788e6cbdb29bb41e8b0e5f3cd5 w __cxa_finalize U exit w __gmon_start__00002004 R _IO_stdin_used w _ITM_registerTMCloneTable w _ITM_registerTMCloneTable U __libc_start_main U printf U put U sprintf U strlen 描述：动态：