elfpeek

适用于快速二进制分析的最小化 ELF 查看器，附带交互式 REPL

为什么？

并非 readelf 或 objdump 的替代品。只是一个用于常见逆向工程问题的快速、专注的工具：

• 二进制布局是什么？
• 哪个段或节包含此地址？
• 该虚拟地址对应的文件偏移量是多少？
• 此位置有哪些字节？
• 哪个函数拥有此地址？

同时也是一个可读的 ELF 解析 C 语言示例。优雅地处理 stripped 和仅段（segment-only）的二进制文件。

特性

• 交互式 REPL，支持 readline（历史记录、行编辑）
• 动态彩色提示符 — 显示当前文件：(elfpeek:ls)
• 彩色十六进制转储 — 空字节（灰色）、可打印字符（绿色）、控制字符（红色）、高字节（黄色）
• 彩色节区 — 可执行（绿色）、可写（黄色）、只读（青色）
• 支持 ELF32/ELF64 小端/大端
• 地址解析器 — 将虚拟地址映射到段、节、文件偏移量、最近符号
• 符号表 — 同时支持 .dynsym 和 .symtab
• 无依赖 — 仅需 glibc 和 <elf.h>

构建

make

可选：安装 libreadline-dev 以获得 REPL 中的命令历史。

使用

交互模式

./elfpeek

快速模式

./elfpeek /bin/ls           # 显示头部、节区、符号
./elfpeek /bin/ls 0x6760    # 解析地址

命令

颜色编码

节区：

• 绿色 = 可执行（.text、.plt）
• 黄色 = 可写（.data、.bss）
• 青色 = 只读（.rodata）

十六进制转储：

• 灰色 = 空字节（00）
• 绿色 = 可打印 ASCII（20-7E）
• 红色 = 控制字符（01-1F）
• 黄色 = 高字节（80-FF）

测试二进制文件

tests/ 目录包含示例 ELF 文件：

待办事项

• relocs 命令 — 显示重定位
• got/plt 分析
• 使用 capstone 进行反汇编

许可证

MIT