elfpeek

素早いバイナリ解析のためのインタラクティブREPLを備えたミニマルなELFインスペクタ

なぜ？

readelf や objdump の代替ではありません。一般的なリバースエンジニアリングの質問に答えるための、すばやく使える専門ツールです：

• バイナリのレイアウトはどうなっている？
• このアドレスはどのセグメント/セクションに含まれる？
• この仮想アドレスに対応するファイルオフセットは？
• この場所にあるバイト列は？
• このアドレスが属する関数は？

また、C言語によるわかりやすいELFパースの例としても機能します。ストリップ済みバイナリやセグメントのみのバイナリも適切に扱います。

特徴

• インタラクティブREPL - readline対応（履歴、行編集）
• 動的に変化する色付きプロンプト - 現在のファイルを表示: (elfpeek:ls)
• 色付きhexdump - null（グレー）、表示可能文字（緑）、制御文字（赤）、上位バイト（黄）
• 色付きセクション - 実行可能（緑）、書き込み可能（黄）、読み取り専用（シアン）
• ELF32/ELF64対応（リトル/ビッグエンディアン）
• アドレスリゾルバ - VAをセグメント、セクション、ファイルオフセット、最寄りのシンボルにマッピング
• シンボルテーブル - .dynsym と .symtab の両方
• 依存関係なし - glibc と <elf.h> のみ

ビルド

make

任意：REPLでコマンド履歴を有効にするには libreadline-dev をインストールしてください。

使い方

インタラクティブモード

./elfpeek

クイックモード

./elfpeek /bin/ls           # ヘッダ、セクション、シンボルを表示
./elfpeek /bin/ls 0x6760    # アドレスを解決

コマンド

色分け

セクション:

• 緑 = 実行可能 (.text, .plt)
• 黄 = 書き込み可能 (.data, .bss)
• シアン = 読み取り専用 (.rodata)

Hexdump:

• グレー = nullバイト (00)
• 緑 = 表示可能ASCII (20-7E)
• 赤 = 制御文字 (01-1F)
• 黄 = 上位バイト (80-FF)

テストバイナリ

tests/ にはサンプルELFファイルが含まれています:

TODO

• relocs コマンド - 再配置を表示
• got/plt 解析
• capstoneによる逆アセンブル

ライセンス

MIT