elfpeek

Minimaler ELF-Inspektor mit interaktiver REPL für schnelle Binäranalyse

Warum?

Kein Ersatz für readelf oder objdump. Ein schnelles, fokussiertes Werkzeug für häufige RE-Fragen:

• Wie ist das Binärlayout?
• Welches Segment/ welcher Abschnitt enthält diese Adresse?
• Was ist der Dateioffset für diese VA?
• Welche Bytes befinden sich an dieser Stelle?
• Welche Funktion besitzt diese Adresse?

Dient auch als lesbares Beispiel für ELF-Parsing in C. Behandelt gestrippte und segment-only-Binärdateien problemlos.

Funktionen

• Interaktive REPL mit Readline-Unterstützung (Verlauf, Zeilenbearbeitung)
• Dynamisch farbige Eingabeaufforderung – zeigt aktuelle Datei: (elfpeek:ls)
• Farbiger Hexdump – Null (grau), druckbar (grün), Steuerzeichen (rot), High-Bytes (gelb)
• Farbige Abschnitte – ausführbar (grün), beschreibbar (gelb), schreibgeschützt (cyan)
• ELF32/ELF64 mit Little-/Big-Endian
• Adressauflöser – ordnet VA Segment, Abschnitt, Dateioffset und nächstgelegenem Symbol zu
• Symboltabellen – sowohl .dynsym als auch .symtab
• Keine Abhängigkeiten – nur glibc und <elf.h>

Build

make

Optional: Installieren Sie libreadline-dev für den Befehlsverlauf in der REPL.

Verwendung

Interaktiver Modus

./elfpeek

Schnellmodus

./elfpeek /bin/ls           # Header, Abschnitte, Symbole anzeigen
./elfpeek /bin/ls 0x6760    # Adresse auflösen

Befehle

Farbcodierung

Abschnitte:

• Grün = ausführbar (.text, .plt)
• Gelb = beschreibbar (.data, .bss)
• Cyan = schreibgeschützt (.rodata)

Hexdump:

• Grau = Nullbytes (00)
• Grün = druckbares ASCII (20-7E)
• Rot = Steuerzeichen (01-1F)
• Gelb = High-Bytes (80-FF)

Test-Binärdateien

tests/ enthält Beispiel-ELF-Dateien:

TODO

• relocs-Befehl – Relokationen anzeigen
• got/plt-Analyse
• Disassemblierung mit capstone

Lizenz

MIT