专栏首页编程珠玑万万没想到,一个可执行文件原来包含了这么多信息!

万万没想到,一个可执行文件原来包含了这么多信息!

拿到一个编译好的可执行文件,你能获取到哪些信息?文件大小,修改时间?文件类型?除此之外呢?实际上它包含了很多信息,这些你都知道吗?

示例程序

//main.c
#include<stdio.h>
void testFun()
{
    printf("公众号:编程珠玑\n");
}
int main(void)
{
    testFun();
    return 0;
}

编译得到可执行文件main:

$ gcc -o main main.c

ELF头信息

只需要一条简单的命令,就可以获取很多信息

$ readelf -h main
ELF Header:
  Magic:   7f 45 4c 46 02 01 01 00 00 00 00 00 00 00 00 00 
  Class:                             ELF64
  Data:                              2's complement, little endian
  Version:                           1 (current)
  OS/ABI:                            UNIX - System V
  ABI Version:                       0
  Type:                              EXEC (Executable file)
  Machine:                           Advanced Micro Devices X86-64
  Version:                           0x1
  Entry point address:               0x400430
  Start of program headers:          64 (bytes into file)
  Start of section headers:          6648 (bytes into file)
  Flags:                             0x0
  Size of this header:               64 (bytes)
  Size of program headers:           56 (bytes)
  Number of program headers:         9
  Size of section headers:           64 (bytes)
  Number of section headers:         31
  Section header string table index: 28

程序位数

Class:     ELF64

Class展示了该程序的位数,如这里显示的是ELF64,如果你将它放到一个32位系统中运行,运行得起来就怪了。换句话说,64位系统上能运行32位和64位的程序,但是32位系统上,无法运行64位的程序。

大小端

  Data:   2's complement, little endian

还记得那个到处可见的面试题吗?如何判断当前CPU是大端还是小端?除了各种秀代码的方式,你想到这个方式了吗?

找一个该平台上的正运行的可执行文件或系统库,然后使用readelf -h看一下,是不是很快就看出来了?多么明显的little endian。

关于大小端,更多内容可参考《谈谈字节序的问题》。

运行平台

Machine:   Advanced Micro Devices X86-64

做嵌入式相关的可能经常需要做交叉编译,而编译出来的程序到底对不对呢?比如你在86平台编译arm的程序,最终生成的可执行文件到底能不能运行在arm平台呢?通过Machine字段就可以很容易确定,从这里可以看到,它是运行在x86平台的。

同样的,当你在交叉编译的时候,发现总有一个库链接不上,但是库又存在,不妨看看这个库和你要编译的平台是否匹配。

链接了哪些动态库?

编好的程序依赖了哪些动态库呢?可不要放到另外一个平台就起不来啊。瞅瞅:

$ ldd main
    linux-vdso.so.1 =>  (0x00007ffe750e7000)
    libc.so.6 => /lib/x86_64-linux-gnu/libc.so.6 (0x00007f749920a000)
    /lib64/ld-linux-x86-64.so.2 (0x00007f74995d4000)

原来链接了这些库,所以当你在网上下载一些程序,运行的时候提示你某些so找不到,不妨看看它链接的动态库在什么位置,你的机器上到底有没有吧。

新增的函数和全局变量包含了吗?

新增了一个全局变量或者函数,但是编译完之后,不确定有没有?

$ nm main |grep testFun
0000000000400526 T testFun

nm看下就知道了。当然了,如果你看到某个库的函数前面的标志不是T,而是U,说明该函数未在该库中定义。

nm主要用于查看elf文件的符号表信息。

有符号表吗

我们都知道,没有符号表的程序,在core之后是没有太多有效信息可看的,也是无法使用gdb正常调试的,这个在《GDB调试入门,看这篇就够了》中已经有提到了,那么怎么看有没有符号表呢?

$ file main
main: ELF 64-bit LSB executable, x86-64, version 1 (SYSV), dynamically linked, interpreter /lib64/ld-linux-x86-64.so.2, for GNU/Linux 2.6.32, BuildID[sha1]=0d9a7eb860459b585d2b33ae28d7c67d5ba12669, not stripped

咦?你看这里是不是也可以看到程序位数,适用平台等信息?

如果使用file命令看到最后是not stripped,那么则含有符号表,一般线上的程序可能会选择去掉符号表信息,因为可以大大减少可执行文件的空间占用。

$ strip main

这个时候再看看:

$ nm main
no main symbols

程序占用空间太大?

为什么程序的占用空间这么大?不妨看看是不是使用了过多的静态变量或全局变量:

$ size main
   text       data     bss     dec     hex filename
   1261        552       8    1821     71d main

看到data部分的大小了吗?看起来并没有多少,如果这里占用空间过大,那可能是你程序中用到了太多的全局变量和静态变量或常量。当然了,如果你的全局变量都是初始化为0的,那么data这里是不会有明显的变化的(为什么?)。

在开头分别加下面这一行,其影响可执行文件的效果不一样奥。

char str[1000] = {0};
char str[1000] = {1};

包含某个字符串吗

这个程序里面包含什么特殊的字符串吗?可以搜索一下:

$ strings main |grep hello
hello,

嗯?这样一想,好像还可以把版本号信息写进去呢。

C还是C++?

如果将前面的程序按照C++编译:

$ g++ -o main main.c
$ nm main |grep test
0000000000400526 T _Z7testFunv

你会发现使用g++编译出来的test函数符号前带头,后带尾,这也是C++中有重载和C中没有重载的原因之一。

函数的汇编代码是?

反汇编所有代码:

$ objdump -d main

那如果要反汇编特定函数(如main函数)呢?先按照地址顺序输出符号表信息:

$ nm -n main |grep main -A 1
0000000000400537 T main
0000000000400550 T __libc_csu_init

我们得到main的开始地址为0x400537,结束地址为0x400550。 反汇编:

$ objdump -d main --start-address=0x400537 --stop-address=0x400550
0000000000400537 <main>:
  400537:    55                      push   %rbp
  400538:    48 89 e5                mov    %rsp,%rbp
  40053b:    b8 00 00 00 00          mov    $0x0,%eax
  400540:    e8 e1 ff ff ff          callq  400526 <testFun>
  400545:    b8 00 00 00 00          mov    $0x0,%eax
  40054a:    5d                      pop    %rbp
  40054b:    c3                      retq   
  40054c:    0f 1f 40 00             nopl   0x0(%rax)

看看只读数据区有哪些内容?

当我们尝试修改常量字符串的时候,编译器会提示我们,它们是只读的,真的如此吗?

$ readelf main -x .rodata
Hex dump of section '.rodata':
  0x004005d0 01000200 00000000 68656c6c 6f2ce585 ........hello,..
  0x004005e0 ace4bc97 e58fb7ef bc9ae7bc 96e7a88b ................
  0x004005f0 e78fa0e7 8e9100                     .......

看到了吗?我们的hello,字符串放在了这里。

总结

本文仅列出了一些比较常见的可执行文中能读到的信息,欢迎补充。

思考

对于a和b,它们的内存存储区域是一样的吗?为什么?

char *a = "hello,world";
char a[] = "hello,world";

sizeof计算a和b的大小一样吗?又为什么?

本文分享自微信公众号 - 编程珠玑(shouwangxiansheng),作者:守望先生

原文出处及转载信息见文内详细说明,如有侵权,请联系 yunjia_community@tencent.com 删除。

原始发表时间:2020-06-08

本文参与腾讯云自媒体分享计划,欢迎正在阅读的你也加入,一起分享。

我来说两句

0 条评论
登录 后参与评论

相关文章

  • 神奇,C代码竟然能当成shell脚本一样“直接”执行!

    我们都知道,写完了的C代码是需要编译链接之后才能运行的(也许你不需要手动点击编译,但是IDE可能帮你做了这件事),那么能不能让C代码像执行shell脚本或者Py...

    编程珠玑
  • 换个角度说Makefile

    作为Linux下的C/C++开发者,没接触过makefile一定说不过去,通常构建大型的C/C++项目都离不开makefile,也许你使用的是cmake或者其他...

    编程珠玑
  • C++中是如何调用C接口的?

    如何在C++代码中调用写好的C接口?你可能会奇怪,C++不是兼容C吗?直接调用不就可以了?这里我们先按下不表,先看看C++如何调用C代码接口。

    编程珠玑
  • Java:关于main方法的10道面试题

    大年初三好,春节第三天了。感觉假期过得好快,东西也丢得快。 假期吃喝玩乐之余也来温故一下Java知识,下面给大家整理了10道Java main方法的经典面试题,...

    Java技术栈
  • 神奇,C代码竟然能当成shell脚本一样“直接”执行!

    我们都知道,写完了的C代码是需要编译链接之后才能运行的(也许你不需要手动点击编译,但是IDE可能帮你做了这件事),那么能不能让C代码像执行shell脚本或者Py...

    编程珠玑
  • 【答疑解惑第九讲】如何在linux下面编译一个简单的c语言程序

    存在问题: 习惯了用IDE,习惯了点击执行按钮。在linux就不能这样了,该咋办? 解决方案: 随着android的大热,在linux下搞开发的人也越来越多,好...

    程序员互动联盟
  • 10个经典的 Java main 方法面试题

    在Java 7之前,你可以通过使用静态初始化运行Java类。但是,从Java 7开始就行不通了。

    哲洛不闹
  • C语言(一个真实的故事)

    曾经有一个简单又不失牛逼的小技巧,老师教的时候我没有珍惜,等到同事因为用了这个技巧升任总工才后悔莫及,如果上天再给我一次机会,我会对老师说:我要学!如果非要定个...

    用户2617681
  • 10个经典的 Java main 方法面试题

    在Java 7之前,你可以通过使用静态初始化运行Java类。但是,从Java 7开始就行不通了。

    哲洛不闹
  • 你确定能把main方法解释清楚?

    main方法是我们最熟悉的方法了。从最初的开始入门Java开始就接触它了,main方法是Java程序的入口点,由Java虚拟机自动调用。因此,在很多人眼里,将m...

    用户4143945

扫码关注云+社区

领取腾讯云代金券