elfpeek

Inspecteur ELF minimal avec REPL interactif pour une analyse rapide de binaires

Pourquoi ?

Pas un remplaçant pour readelf ou objdump. Juste un outil rapide et ciblé pour les questions courantes en rétro-ingénierie :

• Quelle est la disposition du binaire ?
• Quel segment/section contient cette adresse ?
• Quel est le décalage fichier pour cette adresse virtuelle ?
• Quels octets se trouvent à cet emplacement ?
• Quelle fonction possède cette adresse ?

Sert aussi d'exemple lisible de parsing ELF en C. Gère proprement les binaires strippés et ceux sans en-têtes de sections.

Fonctionnalités

• REPL interactif avec support readline (historique, édition de ligne)
• Invite de commande dynamique colorée - affiche le fichier courant : (elfpeek:ls)
• Hexdump coloré - octets nuls (gris), imprimables (vert), de contrôle (rouge), octets hauts (jaune)
• Sections colorées - exécutables (vert), inscriptibles (jaune), lecture seule (cyan)
• Support ELF32/ELF64 avec petit/gros boutisme
• Résolveur d'adresses - fait correspondre une adresse virtuelle à un segment, une section, un décalage fichier, le symbole le plus proche
• Tables de symboles - .dynsym et .symtab
• Aucune dépendance - seulement glibc et <elf.h>

Construction

make

Optionnel : installez libreadline-dev pour l'historique des commandes dans le REPL.

Utilisation

Mode interactif

./elfpeek

Mode rapide

./elfpeek /bin/ls           # affiche les en-têtes, sections, symboles
./elfpeek /bin/ls 0x6760    # résout une adresse

Commandes

Codage couleur

Sections :

• Vert = exécutable (.text, .plt)
• Jaune = inscriptible (.data, .bss)
• Cyan = lecture seule (.rodata)

Hexdump :

• Gris = octets nuls (00)
• Vert = ASCII imprimable (20-7E)
• Rouge = caractères de contrôle (01-1F)
• Jaune = octets hauts (80-FF)

Binaires de test

tests/ contient des fichiers ELF d'exemple :

TODO

• Commande relocs - afficher les relocations
• Analyse got/plt
• Désassemblage avec capstone

Licence

MIT