elfpeek

Inspetor ELF minimalista com REPL interativo para análise rápida de binários

Porquê?

Não substitui readelf ou objdump. Apenas uma ferramenta rápida e focada para perguntas comuns de RE:

• Qual é o layout do binário?
• Qual segmento/seção contém este endereço?
• Qual é o offset no arquivo para este VA?
• Quais bytes estão nesta localização?
• Qual função é dona deste endereço?

Também serve como exemplo legível de análise de ELF em C. Lida graciosamente com binários stripped e apenas com segmentos.

Funcionalidades

• REPL interativo com suporte a readline (histórico, edição de linha)
• Prompt colorido dinâmico - mostra o arquivo atual: (elfpeek:ls)
• Hexdump colorido - nulos (cinza), imprimíveis (verde), controle (vermelho), bytes altos (amarelo)
• Seções coloridas - executável (verde), gravável (amarelo), somente leitura (ciano)
• Suporte a ELF32/ELF64 com little/big endian
• Resolvedor de endereços - mapeia VA para segmento, seção, offset no arquivo, símbolo mais próximo
• Tabelas de símbolos - tanto .dynsym quanto .symtab
• Sem dependências - apenas glibc e <elf.h>

Compilação

make

Opcional: Instale libreadline-dev para histórico de comandos no REPL.

Uso

Modo Interativo

./elfpeek

Modo Rápido

./elfpeek /bin/ls           # mostra cabeçalhos, seções, símbolos
./elfpeek /bin/ls 0x6760    # resolve endereço

Comandos

Codificação de Cores

Seções:

• Verde = executável (.text, .plt)
• Amarelo = gravável (.data, .bss)
• Ciano = somente leitura (.rodata)

Hexdump:

• Cinza = bytes nulos (00)
• Verde = ASCII imprimível (20-7E)
• Vermelho = caracteres de controle (01-1F)
• Amarelo = bytes altos (80-FF)

Binários de Teste

tests/ contém arquivos ELF de exemplo:

A FAZER

• comando relocs - mostrar realocações
• análise got/plt
• Desmontagem com capstone

Licença

MIT