Android逆向之旅---SO(ELF)文件格式详解
16lz
2021-01-23
第一、前言
从今天开始我们正式开始Android的逆向之旅，关于逆向的相关知识，想必大家都不陌生了，逆向领域是一个充满挑战和神秘的领域。作为一名Android开发者，每个人都想去探索这个领域，因为一旦你破解了别人的内容，成就感肯定爆棚，不过相反的是，我们不仅要研究破解之道，也要研究加密之道，因为加密和破解是相生相克的。但是我们在破解的过程中可能最头疼的是native层，也就是so文件的破解。所以我们先来详细了解一下so文件的内容下面就来看看我们今天所要介绍的内容。今天我们先来介绍一下elf文件的格式，因为我们知道Android中的so文件就是elf文件，所以需要了解so文件，必须先来了解一下elf文件的格式，对于如何详细了解一个elf文件，就是手动的写一个工具类来解析一个elf文件。
第二、准备资料
我们需要了解elf文件的格式，关于elf文件格式详解，网上已经有很多介绍资料了。这里我也不做太多的解释了。不过有两个资料还是需要介绍一下的，因为网上的内容真的很多，很杂。这两个资料是最全的，也是最好的。我就是看这两个资料来操作的：
第一个资料是非虫大哥的经典之作：
看吧，是不是超级详细？后面我们用Java代码来解析elf文件的时候，就是按照这张图来的。但是这张图有些数据结构解释的还不是很清楚，所以第二个资料来了。
第二个资料：北京大学实验室出的标准版
http://download.csdn.net/detail/jiangwei0910410003/9204051
这里就不对这个文件做详细解释了，后面在做解析工作的时候，会截图说明。
关于上面的这两个资料，这里还是多数两句：一定要仔细认真的阅读。这个是经典之作。也是后面工作的基础。
第三、工具
当然这里还需要介绍一个工具，因为这个工具在我们下面解析elf文件的时候，也非常有用，而且是检查我们解析elf文件的模板。
就是很出名的：readelf命令
不过Window下这个命令不能用，因为这个命令是Linux的，所以我们还得做个工作就是安装Cygwin。关于这个工具的安装，大家可以看看这篇文章：
http://blog.csdn.net/jiangwei0910410003/article/details/17710243
不过在下载的过程中，我担心小朋友们会遇到挫折，所以很贴心的，放到的云盘里面：
http://pan.baidu.com/s/1C1Zci
下载下来之后，需要改一个东西才能用：
该一下这个文件：
这个路径要改成你本地cygwin64中的bin目录的路径，不然运行错误的。改好之后，直接运行Cygwin.bat就可以了。
关于readelf工具我们这里不做太详细的介绍，只介绍我们要用到的命令：
1、readelf -h xxx.so
查看so文件的头部信息
2、readelf -S xxx.so
查看so文件的段(Section)头的信息
3、readelf -l xxx.so
查看so文件的程序段头信息(Program)
4、readelf -a xxx.so
查看so文件的全部内容
还有很多命令用法，这里就不在细说了，网上有很多介绍的~~
第四、实际操作解析Elf文件(Java代码&C++代码)
上面我们介绍了elf文件格式资料，elf文件的工具，那么下面我们就来实际操作一下，来用Java代码手把手的解析一个libhello-jni.so文件。关于这个libhello-jni.so文件的下载地址：
http://download.csdn.net/detail/jiangwei0910410003/9204087
1、首先定义elf文件中各个结构体内容
这个我们需要参考elf.h这个头文件的格式了。这个文件网上也是有的，这里还是给个下载链接吧：
http://download.csdn.net/detail/jiangwei0910410003/9204081
我们看看Java中定义的elf文件的数据结构类：
package com.demo.parseso;import java.util.ArrayList;public class ElfType32 {public elf32_rel rel;public elf32_rela rela;public ArrayList symList = new ArrayList();public elf32_hdr hdr;//elf头部信息public ArrayList phdrList = new ArrayList();//可能会有多个程序头public ArrayList shdrList = new ArrayList();//可能会有多个段头public ArrayList strtbList = new ArrayList();//可能会有多个字符串值public ElfType32() {rel = new elf32_rel();rela = new elf32_rela();hdr = new elf32_hdr();}/** * typedef struct elf32_rel { Elf32_Addrr_offset; Elf32_Wordr_info;} Elf32_Rel; * */public class elf32_rel {public byte[] r_offset = new byte[4];public byte[] r_info = new byte[4];@Overridepublic String toString(){return "r_offset:"+Utils.bytes2HexString(r_offset)+";r_info:"+Utils.bytes2HexString(r_info);}}/** * typedef struct elf32_rela{ Elf32_Addrr_offset; Elf32_Wordr_info; Elf32_Swordr_addend;} Elf32_Rela; */public class elf32_rela{public byte[] r_offset = new byte[4];public byte[] r_info = new byte[4];public byte[] r_addend = new byte[4];@Overridepublic String toString(){return "r_offset:"+Utils.bytes2HexString(r_offset)+";r_info:"+Utils.bytes2HexString(r_info)+";r_addend:"+Utils.bytes2HexString(r_info);}}/** * typedef struct elf32_sym{ Elf32_Wordst_name; Elf32_Addrst_value; Elf32_Wordst_size; unsigned charst_info; unsigned charst_other; Elf32_Halfst_shndx;} Elf32_Sym; */public static class Elf32_Sym{public byte[] st_name = new byte[4];public byte[] st_value = new byte[4];public byte[] st_size = new byte[4];public byte st_info;public byte st_other;public byte[] st_shndx = new byte[2];@Overridepublic String toString(){return "st_name:"+Utils.bytes2HexString(st_name)+"\nst_value:"+Utils.bytes2HexString(st_value)+"\nst_size:"+Utils.bytes2HexString(st_size)+"\nst_info:"+(st_info/16)+"\nst_other:"+(((short)st_other) & 0xF)+"\nst_shndx:"+Utils.bytes2HexString(st_shndx);}}public void printSymList(){for(int i=0;i> 4)#define ELF_ST_TYPE(x)(((unsigned int) x) & 0xf) *//** * typedef struct elf32_hdr{ unsigned chare_ident[EI_NIDENT]; Elf32_Halfe_type; Elf32_Halfe_machine; Elf32_Worde_version; Elf32_Addre_entry; // Entry point Elf32_Offe_phoff; Elf32_Offe_shoff; Elf32_Worde_flags; Elf32_Halfe_ehsize; Elf32_Halfe_phentsize; Elf32_Halfe_phnum; Elf32_Halfe_shentsize; Elf32_Halfe_shnum; Elf32_Halfe_shstrndx;} Elf32_Ehdr; */public class elf32_hdr{public byte[] e_ident = new byte[16];public byte[] e_type = new byte[2];public byte[] e_machine = new byte[2];public byte[] e_version = new byte[4];public byte[] e_entry = new byte[4];public byte[] e_phoff = new byte[4];public byte[] e_shoff = new byte[4];public byte[] e_flags = new byte[4];public byte[] e_ehsize = new byte[2];public byte[] e_phentsize = new byte[2];public byte[] e_phnum = new byte[2];public byte[] e_shentsize = new byte[2];public byte[] e_shnum = new byte[2];public byte[] e_shstrndx = new byte[2];@Overridepublic String toString(){return "magic:"+ Utils.bytes2HexString(e_ident) +"\ne_type:"+Utils.bytes2HexString(e_type)+"\ne_machine:"+Utils.bytes2HexString(e_machine)+"\ne_version:"+Utils.bytes2HexString(e_version)+"\ne_entry:"+Utils.bytes2HexString(e_entry)+"\ne_phoff:"+Utils.bytes2HexString(e_phoff)+"\ne_shoff:"+Utils.bytes2HexString(e_shoff)+"\ne_flags:"+Utils.bytes2HexString(e_flags)+"\ne_ehsize:"+Utils.bytes2HexString(e_ehsize)+"\ne_phentsize:"+Utils.bytes2HexString(e_phentsize)+"\ne_phnum:"+Utils.bytes2HexString(e_phnum)+"\ne_shentsize:"+Utils.bytes2HexString(e_shentsize)+"\ne_shnum:"+Utils.bytes2HexString(e_shnum)+"\ne_shstrndx:"+Utils.bytes2HexString(e_shstrndx);}}/** * typedef struct elf32_phdr{ Elf32_Wordp_type; Elf32_Offp_offset; Elf32_Addrp_vaddr; Elf32_Addrp_paddr; Elf32_Wordp_filesz; Elf32_Wordp_memsz; Elf32_Wordp_flags; Elf32_Wordp_align;} Elf32_Phdr; */public static class elf32_phdr{public byte[] p_type = new byte[4];public byte[] p_offset = new byte[4];public byte[] p_vaddr = new byte[4];public byte[] p_paddr = new byte[4];public byte[] p_filesz = new byte[4];public byte[] p_memsz = new byte[4];public byte[] p_flags = new byte[4];public byte[] p_align = new byte[4];@Overridepublic String toString(){return "p_type:"+ Utils.bytes2HexString(p_type)+"\np_offset:"+Utils.bytes2HexString(p_offset)+"\np_vaddr:"+Utils.bytes2HexString(p_vaddr)+"\np_paddr:"+Utils.bytes2HexString(p_paddr)+"\np_filesz:"+Utils.bytes2HexString(p_filesz)+"\np_memsz:"+Utils.bytes2HexString(p_memsz)+"\np_flags:"+Utils.bytes2HexString(p_flags)+"\np_align:"+Utils.bytes2HexString(p_align);}}public void printPhdrList(){for(int i=0;i 有了结构定义，下面就来看看如何解析吧。
在解析之前我们需要将so文件读取到byte[]中，定义一个数据结构类型
public static ElfType32 type_32 = new ElfType32();byte[] fileByteArys = Utils.readFile("so/libhello-jni.so");if(fileByteArys == null){System.out.println("read file byte failed...");return;}2、解析elf文件的头部信息
关于这些字段的解释，要看上面提到的那个pdf文件中的描述
这里我们介绍几个重要的字段，也是我们后面修改so文件的时候也会用到：
1)、e_phoff
这个字段是程序头(Program Header)内容在整个文件的偏移值，我们可以用这个偏移值来定位程序头的开始位置，用于解析程序头信息
2)、e_shoff
这个字段是段头(Section Header)内容在这个文件的偏移值，我们可以用这个偏移值来定位段头的开始位置，用于解析段头信息
3)、e_phnum
这个字段是程序头的个数，用于解析程序头信息
4)、e_shnum
这个字段是段头的个数，用于解析段头信息
5)、e_shstrndx
这个字段是String段在整个段列表中的索引值，这个用于后面定位String段的位置
按照上面的图我们就可以很容易的解析
/** * 解析Elf的头部信息 * @param header */private static void parseHeader(byte[] header, int offset){if(header == null){System.out.println("header is null");return;}/** * public byte[] e_ident = new byte[16];public short e_type;public short e_machine;public int e_version;public int e_entry;public int e_phoff;public int e_shoff;public int e_flags;public short e_ehsize;public short e_phentsize;public short e_phnum;public short e_shentsize;public short e_shnum;public short e_shstrndx; */type_32.hdr.e_ident = Utils.copyBytes(header, 0, 16);//魔数type_32.hdr.e_type = Utils.copyBytes(header, 16, 2);type_32.hdr.e_machine = Utils.copyBytes(header, 18, 2);type_32.hdr.e_version = Utils.copyBytes(header, 20, 4);type_32.hdr.e_entry = Utils.copyBytes(header, 24, 4);type_32.hdr.e_phoff = Utils.copyBytes(header, 28, 4);type_32.hdr.e_shoff = Utils.copyBytes(header, 32, 4);type_32.hdr.e_flags = Utils.copyBytes(header, 36, 4);type_32.hdr.e_ehsize = Utils.copyBytes(header, 40, 2);type_32.hdr.e_phentsize = Utils.copyBytes(header, 42, 2);type_32.hdr.e_phnum = Utils.copyBytes(header, 44,2);type_32.hdr.e_shentsize = Utils.copyBytes(header, 46,2);type_32.hdr.e_shnum = Utils.copyBytes(header, 48, 2);type_32.hdr.e_shstrndx = Utils.copyBytes(header, 50, 2);}3、解析段头(Section Header)信息
这个结构中字段见pdf中的描述吧，这里就不做解释了。后面我们会手动的构造这样的一个数据结构，到时候在详细说明每个字段含义。
按照这个结构。我们解析也简单了：
/** * 解析段头信息内容 */public static void parseSectionHeaderList(byte[] header, int offset){int header_size = 40;//40个字节int header_count = Utils.byte2Short(type_32.hdr.e_shnum);//头部的个数byte[] des = new byte[header_size];for(int i=0;i4、解析程序头(Program Header)信息
这里的字段，这里也不做解释了，看pdf文档。
我们按照这个结构来进行解析：
/** * 解析程序头信息 * @param header */public static void parseProgramHeaderList(byte[] header, int offset){int header_size = 32;//32个字节int header_count = Utils.byte2Short(type_32.hdr.e_phnum);//头部的个数byte[] des = new byte[header_size];for(int i=0;i5、验证解析结果
那么上面我们的解析工作做完了，为了验证我们的解析工作是否正确，我们需要给每个结构定义个打印函数，也就是从写toString方法即可。
然后我们在使用readelf工具来查看so文件的各个结构内容，对比就可以知道解析的是否成功了。
解析代码下载地址：https://github.com/fourbrother/parse_androidso
上面我们用的是Java代码来进行解析的，为了照顾广大程序猿，所以给出一个C++版本的解析类：
#include#include#include#include "elf.h"/**非常重要的一个宏，功能很简单：P:需要对其的段地址ALIGNBYTES:对其的字节数功能：将P值补充到时ALIGNBYTES的整数倍这个函数也叫：页面对其函数eg: 0x3e45/0x1000 == >0x4000*/#define ALIGN(P, ALIGNBYTES) ( ((unsigned long)P + ALIGNBYTES -1)&~(ALIGNBYTES-1) )int addSectionFun(char*, char*, unsigned int);int main(){addSectionFun("D:\libhello-jni.so", ".jiangwei", 0x1000);return 0;}int addSectionFun(char *lpPath, char *szSecname, unsigned int nNewSecSize){char name[50];FILE *fdr, *fdw;char *base = NULL;Elf32_Ehdr *ehdr;Elf32_Phdr *t_phdr, *load1, *load2, *dynamic;Elf32_Shdr *s_hdr;int flag = 0;int i = 0;unsigned mapSZ = 0;unsigned nLoop = 0;unsigned int nAddInitFun = 0;unsigned int nNewSecAddr = 0;unsigned int nModuleBase = 0;memset(name, 0, sizeof(name));if(nNewSecSize == 0){return 0;}fdr = fopen(lpPath, "rb");strcpy(name, lpPath);if(strchr(name, '.')){strcpy(strchr(name, '.'), "_new.so");}else{strcat(name, "_new");}fdw = fopen(name, "wb");if(fdr == NULL || fdw == NULL){printf("Open file failed");return 1;}fseek(fdr, 0, SEEK_END);mapSZ = ftell(fdr);//源文件的长度大小printf("mapSZ:0x%x\n", mapSZ);base = (char*)malloc(mapSZ * 2 + nNewSecSize);//2*源文件大小+新加的Section sizeprintf("base 0x%x \n", base);memset(base, 0, mapSZ * 2 + nNewSecSize);fseek(fdr, 0, SEEK_SET);fread(base, 1, mapSZ, fdr);//拷贝源文件内容到baseif(base == (void*) -1){printf("fread fd failed");return 2;}//判断Program Headerehdr = (Elf32_Ehdr*) base;t_phdr = (Elf32_Phdr*)(base + sizeof(Elf32_Ehdr));for(i=0;ie_phnum;i++){if(t_phdr->p_type == PT_LOAD){//这里的flag只是一个标志位，去除第一个LOAD的Segment的值if(flag == 0){load1 = t_phdr;flag = 1;nModuleBase = load1->p_vaddr;printf("load1 = %p, offset = 0x%x \n", load1, load1->p_offset);}else{load2 = t_phdr;printf("load2 = %p, offset = 0x%x \n", load2, load2->p_offset);}}if(t_phdr->p_type == PT_DYNAMIC){dynamic = t_phdr;printf("dynamic = %p, offset = 0x%x \n", dynamic, dynamic->p_offset);}t_phdr ++;}//section headers_hdr = (Elf32_Shdr*)(base + ehdr->e_shoff);//获取到新加section的位置，这个是重点,需要进行页面对其操作printf("addr:0x%x\n",load2->p_paddr);nNewSecAddr = ALIGN(load2->p_paddr + load2->p_memsz - nModuleBase, load2->p_align);printf("new section add:%x \n", nNewSecAddr);if(load1->p_filesz < ALIGN(load2->p_paddr + load2->p_memsz, load2->p_align) ){printf("offset:%x\n",(ehdr->e_shoff + sizeof(Elf32_Shdr) * ehdr->e_shnum));//注意这里的代码的执行条件，这里其实就是判断section header是不是在文件的末尾if( (ehdr->e_shoff + sizeof(Elf32_Shdr) * ehdr->e_shnum) != mapSZ){if(mapSZ + sizeof(Elf32_Shdr) * (ehdr->e_shnum + 1) > nNewSecAddr){printf("无法添加节\n");return 3;}else{memcpy(base + mapSZ, base + ehdr->e_shoff, sizeof(Elf32_Shdr) * ehdr->e_shnum);//将Section Header拷贝到原来文件的末尾ehdr->e_shoff = mapSZ;mapSZ += sizeof(Elf32_Shdr) * ehdr->e_shnum;//加上Section Header的长度s_hdr = (Elf32_Shdr*)(base + ehdr->e_shoff);printf("ehdr_offset:%x",ehdr->e_shoff);}}}else{nNewSecAddr = load1->p_filesz;}printf("还可添加 %d 个节\n", (nNewSecAddr - ehdr->e_shoff) / sizeof(Elf32_Shdr) - ehdr->e_shnum - 1);int nWriteLen = nNewSecAddr + ALIGN(strlen(szSecname) + 1, 0x10) + nNewSecSize;//添加section之后的文件总长度：原来的长度 + section name + section sizeprintf("write len %x\n",nWriteLen);char *lpWriteBuf = (char *)malloc(nWriteLen);//nWriteLen :最后文件的总大小memset(lpWriteBuf, 0, nWriteLen);//ehdr->e_shstrndx是section name的string表在section表头中的偏移值,修改string段的大小s_hdr[ehdr->e_shstrndx].sh_size = nNewSecAddr - s_hdr[ehdr->e_shstrndx].sh_offset + strlen(szSecname) + 1;strcpy(lpWriteBuf + nNewSecAddr, szSecname);//添加section name//以下代码是构建一个Section HeaderElf32_Shdr newSecShdr = {0};newSecShdr.sh_name = nNewSecAddr - s_hdr[ehdr->e_shstrndx].sh_offset;newSecShdr.sh_type = SHT_PROGBITS;newSecShdr.sh_flags = SHF_WRITE | SHF_ALLOC | SHF_EXECINSTR;nNewSecAddr += ALIGN(strlen(szSecname) + 1, 0x10);newSecShdr.sh_size = nNewSecSize;newSecShdr.sh_offset = nNewSecAddr;newSecShdr.sh_addr = nNewSecAddr + nModuleBase;newSecShdr.sh_addralign = 4;//修改Program Header信息load1->p_filesz = nWriteLen;load1->p_memsz = nNewSecAddr + nNewSecSize;load1->p_flags = 7;//可读 可写 可执行//修改Elf header中的section的count值ehdr->e_shnum++;memcpy(lpWriteBuf, base, mapSZ);//从base中拷贝mapSZ长度的字节到lpWriteBufmemcpy(lpWriteBuf + mapSZ, &newSecShdr, sizeof(Elf32_Shdr));//将新加的Section Header追加到lpWriteBuf末尾//写文件fseek(fdw, 0, SEEK_SET);fwrite(lpWriteBuf, 1, nWriteLen, fdw);fclose(fdw);fclose(fdr);free(base);free(lpWriteBuf);return 0;} C++代码下载：http://download.csdn.net/detail/jiangwei0910410003/9204139
第五、总结
关于Elf文件的格式，就介绍到这里，通过自己写一个解析类的话，可以很深刻的了解elf文件的格式，所以我们在以后遇到一个文件格式的了解过程中，最好的方式就是手动的写一个工具类就好了。那么这篇文章是逆向之旅的第一篇，也是以后篇章的基础，下面一篇文章我们会介绍如何来手动的在elf中添加一个段数据结构，尽情期待~~
《Android应用安全防护和逆向分析》
点击立即购买：京东 天猫
更多内容：点击这里
关注微信公众号，最新技术干货实时推送
编码美丽技术圈 微信扫一扫进入我的"技术圈"世界 
扫一扫加小编微信
添加时请注明：“编码美丽”非常感谢！
更多相关文章
- 一款用于在 Android 设备上获取照片（拍照或从相册、文件中选择）、
- [置顶] android中图片的三级cache策略（内存、文件、网络）之三：文件
- Android 读写xml文件
- 如何使用Android Studio打开一个App项目，导入Android App项目需要
- Android应用程序如何访问/sys和/proc等目录下的系统文件
- android使用webview预览png,pdf,doc,xls,txt，等文件
- Android读取工程内嵌资源文件的两种方法
- Android 共享内存实现跨进程大文件传输(设计思路和Demo实现绕过B