Elfina: Un cargador ELF multiarquitectura

Elfina es un cargador ELF multiarquitectura que soporta binarios x86 y x86-64.

Este proyecto ha sido implementado en Rust desde la versión v2.0.0.

Antecedentes

Recientemente, he estado estudiando ingeniería inversa en Windows y el formato de archivo PE.
Después de eso, comencé a explorar binarios ELF para aprender más sobre ingeniería inversa en Linux y desarrollo de rootkits.

Para comprender mejor cómo se cargan y ejecutan los ejecutables ELF, desarrollé Elfina como un proyecto de aprendizaje centrado en el kernel de Linux y el formato de archivo ELF.

Si encuentras este proyecto útil o informativo, ¡una ⭐ sería apreciada!

Descargo de responsabilidad

Este proyecto está destinado únicamente a fines educativos y de investigación.

Está diseñado para ayudar a comprender:

• Formato de archivo ELF
• Conceptos de ingeniería inversa

Características

• Cargador ELF multiarquitectura
• Soporte para binarios ELF x86 y x86-64
• Múltiples métodos de ejecución
  • Carga con --mmap
  • Ejecución con --memfd
• Sondaje ELF
  • --info muestra metadatos y estructura del ELF
• Utilidades de análisis ELF:
  • --hexdump : Muestra la representación hexadecimal del archivo ELF.
  • --hexdump-out: Guarda el resultado de --hexdump en un archivo específico.
  • --entropy: Calcula la entropía para ayudar a identificar secciones empaquetadas o comprimidas.
  • --entropy-out: Guarda el resultado de --entropy en un archivo específico.
  • --disasm: Desensambla el binario ELF.
  • --disasm-out: Guarda el resultado de --disasm en un archivo específico.

Arquitecturas ELF compatibles

Inicio rápido

Requisitos

sudo apt install gcc-multilib

Descarga y extrae el paquete de lanzamiento:

wget https://github.com/iss4cf0ng/Elfina/releases/latest/download/elfina-linux.tar.gz
tar -xzf elfina-linux.tar.gz
cd elfina
chmod +x ./elfina
chmod +x ./elfina32

El diseño se muestra a continuación:

elfina/
 ├ elfina
 └ elfina32

Uso

// ---------- elfina (x64) ----------

./elfina --coffee
./elfina --info <x64_elf_path>
./elfina --mmap <x64_elf_path> [arguments]
./elfina --memfd <x64_elf_path> [arguments]

./elfina --hexdump <x64_elf_path>
./elfina --hexdump-out <x64_elf_path>

./elfina --entropy <x64_elf_path>
./elfina --entropy-out <output_file> <x64_elf_path>

./elfina --disasm <x64_elf_path>
./elfina --disasm-out <output_file> <x64_elf_path>

// ---------- elfina32 (x86) ----------

./elfina32 --coffee
./elfina32 --info <x86_elf_path>
./elfina32 --mmap <x86_elf_path> [arguments]
./elfina32 --memfd <x86_elf_path> [arguments]

./elfina32 --hexdump <x86_elf_path>
./elfina32 --hexdump-out <x86_elf_path>

./elfina32 --entropy <x86_elf_path>
./elfina32 --entropy-out <output_file> <x86_elf_path>

./elfina32 --disasm <x86_elf_path>
./elfina32 --disasm-out <output_file> <x86_elf_path>

Compilar desde el código fuente

Lenguaje C

Clona el repositorio y compila el proyecto:

git clone https://github.com/iss4cf0ng/Elfina
cd Elfina/C
make

o

chmod +x build.sh
./build.sh

Rust

git clone https://github.com/iss4cf0ng/Elfina
cd Elfina/Rust
chmod +x build.sh
./build.sh

Demostración

elfina (x86-64)

elfina32 (32 bits)

En el Subsistema de Windows para Linux (WSL2), Elfina no puede ejecutar archivos binarios ELF de 32 bits. El sondaje (--info) y la ejecución de 64 bits funcionan correctamente. Para soporte completo de 32 bits, utiliza un entorno Linux nativo o una máquina virtual como VirtualBox o VMWare.

--hexdump

--entropy

--disasm