elfpeek

أداة فحص ELF بسيطة مع واجهة تفاعلية (REPL) لتحليل سريع للملفات الثنائية

لماذا؟

ليست بديلاً عن readelf أو objdump. مجرد أداة سريعة ومركزة للأسئلة الشائعة في الهندسة العكسية:

• ما هو تخطيط الملف الثنائي؟
• أي جزء/مقطع يحتوي هذا العنوان؟
• ما هو الإزاحة في الملف لهذا العنوان الظاهري؟
• ما البايتات الموجودة في هذا الموقع؟
• أي دالة تملك هذا العنوان؟

كما تخدم كمثال مقروء لتحليل ELF بلغة C. تتعامل مع الملفات المجرّدة والملفات التي تحتوي على مقاطع فقط بشكل لائق.

الميزات

• واجهة تفاعلية (REPL) مع دعم readline (سجل الأوامر، تحرير السطر)
• موجه ديناميكي ملون - يظهر الملف الحالي: (elfpeek:ls)
• Hexdump ملون - البايتات الصفرية (رمادي)، القابلة للطباعة (أخضر)، التحكم (أحمر)، البايتات العالية (أصفر)
• أقسام ملونة - القابلة للتنفيذ (أخضر)، القابلة للكتابة (أصفر)، للقراءة فقط (سماوي)
• دعم ELF32/ELF64 مع الترتيب الصغير/الكبير
• محلل عناوين - يربط العنوان الظاهري بالمقطع، القسم، الإزاحة في الملف، أقرب رمز
• جداول الرموز - كل من .dynsym و .symtab
• لا تبعيات - فقط glibc و <elf.h>

بناء

make

اختياري: ثبت حزمة libreadline-dev للحصول على سجل الأوامر في الواجهة التفاعلية.

الاستخدام

الوضع التفاعلي

./elfpeek

الوضع السريع

./elfpeek /bin/ls           # عرض الترويسات والأقسام والرموز
./elfpeek /bin/ls 0x6760    # تحليل عنوان

الأوامر

ترميز الألوان

الأقسام:

• أخضر = قابل للتنفيذ (.text, .plt)
• أصفر = قابل للكتابة (.data, .bss)
• سماوي = للقراءة فقط (.rodata)

التفريغ الست عشري:

• رمادي = بايتات صفرية (00)
• أخضر = ASCII قابل للطباعة (20-7E)
• أحمر = أحرف تحكم (01-1F)
• أصفر = بايتات عالية (80-FF)

الملفات الثنائية الاختبارية

يحتوي tests/ على ملفات ELF نموذجية:

المهام المستقبلية

• أمر relocs - عرض الترحيلات
• تحليل got/plt
• تفكيك باستخدام capstone

الرخصة

MIT