elfpeek

Inspector ELF mínimo con REPL interactivo para análisis rápido de binarios

¿Por qué?

No es un reemplazo de readelf u objdump. Solo una herramienta rápida y enfocada para preguntas comunes de ingeniería inversa:

• ¿Cuál es la distribución del binario?
• ¿Qué segmento/sección contiene esta dirección?
• ¿Cuál es el desplazamiento de archivo para esta VA?
• ¿Qué bytes hay en esta ubicación?
• ¿Qué función es dueña de esta dirección?

También sirve como ejemplo legible de análisis ELF en C. Maneja binarios sin símbolos y solo con segmentos de forma elegante.

Características

• REPL interactivo con soporte de readline (historial, edición de línea)
• Prompt dinámico con color - muestra el archivo actual: (elfpeek:ls)
• Hexdump con color - nulos (gris), imprimibles (verde), control (rojo), bytes altos (amarillo)
• Secciones con color - ejecutables (verde), escribibles (amarillo), solo lectura (cian)
• Soporte ELF32/ELF64 con little/big endian
• Resolvedor de direcciones - mapea VA a segmento, sección, desplazamiento de archivo, símbolo más cercano
• Tablas de símbolos - tanto .dynsym como .symtab
• Sin dependencias - solo glibc y <elf.h>

Compilar

make

Opcional: instala libreadline-dev para el historial de comandos en el REPL.

Uso

Modo interactivo

./elfpeek

Modo rápido

./elfpeek /bin/ls           # muestra cabeceras, secciones, símbolos
./elfpeek /bin/ls 0x6760    # resuelve la dirección

Comandos

Código de colores

Secciones:

• Verde = ejecutable (.text, .plt)
• Amarillo = escribible (.data, .bss)
• Cian = solo lectura (.rodata)

Hexdump:

• Gris = bytes nulos (00)
• Verde = ASCII imprimible (20-7E)
• Rojo = caracteres de control (01-1F)
• Amarillo = bytes altos (80-FF)

Binarios de prueba

tests/ contiene archivos ELF de ejemplo:

TODO

• Comando relocs - mostrar reubicaciones
• Análisis de got/plt
• Desensamblado con capstone

Licencia

MIT