ELF 二进制检查器

使用方法

1. 把二进制拖到方框里：没有扩展名的可执行文件、.so、.o 或核心转储都可以。
2. 先看头部一行的架构和类型。PIE 可执行文件和共享对象都是 DYN，下面的解释器一行会告诉你是哪一种。
3. 查看加固标签：发行版构建通常是 PIE、NX 和完全 RELRO，出现橙色标签就值得在分发前解释清楚。
4. 在依赖库里看加载器将要查找的共享库，在 RUNPATH 里看二进制额外加入的非标准查找目录。
5. 需要各部分大小时展开节列表：代码在 .text，常量在 .rodata，若保留了调试信息还会看到 .debug_* 节。

常见问题

PIE 可执行文件和共享库有什么区别？两者都显示 DYN。

ELF 类型确实相同，都是加载器可以映射到任意地址的位置无关代码。区别在于可执行文件有一个 PT_INTERP 程序头指明动态加载器（通常是 /lib64/ld-linux-x86-64.so.2），内核据此知道如何启动它；而库没有这一项，只会被别的程序加载。现代工具链还会在可执行文件的动态标志中设置 DF_1_PIE，这正是 readelf 报告的依据，也是本工具优先采用的判断；当旧链接器没有写入该标志时，再退回到看有没有解释器。

PIE、NX 和 RELRO 实际防的是什么？

PIE 让内核把二进制加载到随机基址，使 ASLR 不只作用于库，也作用于程序自身的代码；没有它，gadget 地址就是固定且已知的。NX 把栈标记为不可执行，注入的 shellcode 无法被直接跳转执行。RELRO 让重定位表在启动后变为只读：部分保护的是 main 之前解析的那些，完全则会提前解析所有函数，从而把 GOT 也设为只读，堵住经典的 GOT 覆写手法。三者都是链接期属性，所以无需运行就能从文件里读出来。

为什么说已剥离符号，我却还能看到函数名？

因为有两张符号表。这里说的剥离是指没有了 SHT_SYMTAB，那正是 strip 去掉、调试器需要的那张。动态符号表 SHT_DYNSYM 必须保留在任何导出或导入符号的文件中，否则动态链接无法工作——所以被剥离的库仍会列出它导出的一切，被剥离的可执行文件也仍会列出它导入的内容。这也是为什么 nm 说没有符号，而 nm -D 仍能打印出一份列表。

能读其他架构或大端的二进制吗？

能。头部开头的类别字节和数据字节说明文件是 32 位还是 64 位、使用哪种字节序，之后每个字段都通过这两者来读取，因此 AArch64、ARM、MIPS、RISC-V 或大端 PowerPC 的二进制与 x86-64 一样准确。常见机器类型按名称显示，其余显示原始编码。它做不到的是判断该二进制能否在你的机器上运行，那取决于内核、ABI 和库，而不只是头部。

构建 ID 有什么用？

它是链接器写在注释节里的哈希，用来标识这一次具体的构建。发行版用它把二进制和单独分发的调试符号对应起来：调试文件放在 /usr/lib/debug/.build-id/xx/yyyy.debug，拿到核心转储的调试器即使面对被剥离的二进制也能找到正确的符号。由于编译输出稍有变化 ID 就会改变，它也是判断两个文件是否真属同一次构建的可靠依据。

二进制会被上传到什么地方吗？

不会。文件用浏览器的 File API 读取，由页面里的 JavaScript 解析。没有任何内容发往服务器，也不存在可以接收它的服务端组件。这一点在本工具上尤其重要：你要检查的二进制往往正是不便上传的东西。页面加载后断开网络，一切照常工作。

相关工具