Elfina: Ein Multi-Architektur-ELF-Lader

Elfina ist ein Multi-Architektur-ELF-Lader, der x86- und x86-64-Binärdateien unterstützt.

Dieses Projekt wird seit v2.0.0 in Rust implementiert.

Hintergrund

In letzter Zeit habe ich mich mit Reverse Engineering unter Windows und dem PE-Dateiformat beschäftigt.
Danach habe ich begonnen, ELF-Binärdateien zu untersuchen, um mehr über Linux-Reverse-Engineering und Rootkit-Entwicklung zu lernen.

Um besser zu verstehen, wie ELF-Executables geladen und ausgeführt werden, habe ich Elfina als Lernprojekt mit Fokus auf den Linux-Kernel und das ELF-Dateiformat entwickelt.

Wenn Sie dieses Projekt nützlich oder informativ finden, würde ich mich über einen ⭐ freuen!

Haftungsausschluss

Dieses Projekt ist ausschließlich für Bildungs- und Forschungszwecke bestimmt.

Es wurde entwickelt, um Folgendes zu verstehen:

• ELF-Dateiformat
• Reverse-Engineering-Konzepte

Funktionen

• Multi-Architektur-ELF-Lader
• Unterstützung für x86- und x86-64-ELF-Binärdateien
• Mehrere Ausführungsmethoden
  • --mmap-Laden
  • --memfd-Ausführung
• ELF-Erkennung
  • --info zeigt ELF-Metadaten und Struktur an
• ELF-Analysewerkzeuge:
  • --hexdump : Hexadezimale Darstellung der ELF-Datei anzeigen.
  • --hexdump-out: Ergebnis von --hexdump in eine bestimmte Datei speichern.
  • --entropy: Entropie berechnen, um gepackte oder komprimierte Abschnitte zu identifizieren.
  • --entropy-out: Ergebnis von --entropy in eine bestimmte Datei speichern.
  • --disasm: ELF-Binärdatei disassemblieren.
  • --disasm-out: Ergebnis von --disasm in eine bestimmte Datei speichern.

Unterstützte ELF-Architekturen

Schnellstart

Anforderungen

sudo apt install gcc-multilib

Laden Sie das Release-Paket herunter und extrahieren Sie es:

wget https://github.com/iss4cf0ng/Elfina/releases/latest/download/elfina-linux.tar.gz
tar -xzf elfina-linux.tar.gz
cd elfina
chmod +x ./elfina
chmod +x ./elfina32

Das Layout ist wie folgt dargestellt:

elfina/
 ├ elfina
 └ elfina32

Verwendung

// ---------- elfina (x64) ----------

./elfina --coffee
./elfina --info <x64_elf_path>
./elfina --mmap <x64_elf_path> [arguments]
./elfina --memfd <x64_elf_path> [arguments]

./elfina --hexdump <x64_elf_path>
./elfina --hexdump-out <x64_elf_path>

./elfina --entropy <x64_elf_path>
./elfina --entropy-out <output_file> <x64_elf_path>

./elfina --disasm <x64_elf_path>
./elfina --disasm-out <output_file> <x64_elf_path>

// ---------- elfina32 (x86) ----------

./elfina32 --coffee
./elfina32 --info <x86_elf_path>
./elfina32 --mmap <x86_elf_path> [arguments]
./elfina32 --memfd <x86_elf_path> [arguments]

./elfina32 --hexdump <x86_elf_path>
./elfina32 --hexdump-out <x86_elf_path>

./elfina32 --entropy <x86_elf_path>
./elfina32 --entropy-out <output_file> <x86_elf_path>

./elfina32 --disasm <x86_elf_path>
./elfina32 --disasm-out <output_file> <x86_elf_path>

Aus dem Quellcode erstellen

C

git clone https://github.com/iss4cf0ng/Elfina
cd Elfina/C
make

oder

chmod +x build.sh
./build.sh

Rust

git clone https://github.com/iss4cf0ng/Elfina
cd Elfina/Rust
chmod +x build.sh
./build.sh

Vorführung

elfina (x86-64)

elfina32 (32-Bit)

Unter dem Windows-Subsystem für Linux (WSL2) kann Elfina keine 32-Bit-ELF-Binärdateien ausführen. Die Erkennung (--info) und die 64-Bit-Ausführung funktionieren einwandfrei. Für vollständige 32-Bit-Unterstützung verwenden Sie eine native Linux-Umgebung oder eine VM wie VirtualBox oder VMware.

--hexdump

--entropy

--disasm