Не замена readelf или objdump. Просто быстрый и узкоспециализированный инструмент для типичных вопросов при реверс-инжиниринге:

• Как устроен бинарный файл?
• Какой сегмент/секция содержит этот адрес?
• Какое смещение в файле у этого виртуального адреса?
• Какие байты находятся по этому адресу?
• Какая функция владеет этим адресом?

Также служит читабельным примером разбора ELF на C. Корректно обрабатывает бинарники без символов и только с программными заголовками.

Возможности

• Интерактивный REPL с поддержкой readline (история, редактирование строки)
• Динамическое цветное приглашение — показывает текущий файл: (elfpeek:ls)
• Цветной hexdump — нулевые (серый), печатные (зелёный), управляющие (красный), старшие байты (жёлтый)
• Цветные секции — исполняемые (зелёный), записываемые (жёлтый), только для чтения (голубой)
• Поддержка ELF32/ELF64 с little/big endian
• Резолвер адресов — сопоставляет виртуальный адрес с сегментом, секцией, смещением в файле и ближайшим символом
• Таблицы символов — как .dynsym, так и .symtab
• Без зависимостей — только glibc и <elf.h>

Сборка

Опционально: установите libreadline-dev для истории команд в REPL.

Использование

Интерактивный режим

Быстрый режим

Команды

Цветовая кодировка

Секции:

• Зелёный = исполняемые (.text, .plt)
• Жёлтый = записываемые (.data, .bss)
• Голубой = только для чтения (.rodata)

Hexdump:

• Серый = нулевые байты (00)
• Зелёный = печатные ASCII (20-7E)
• Красный = управляющие символы (01-1F)
• Жёлтый = старшие байты (80-FF)

Тестовые бинарники

tests/ содержит примеры ELF-файлов:

TODO

• relocs — показать релокации
• анализ got/plt
• Дисассемблирование с помощью capstone

Лицензия

MIT