ELF 结构的练习路径

strip 只删掉符号表，字符串常量与调用结构依然可读，分析成本没有想象中高

练逆向最怕「看了很多，一个都没做完」。

先说结论

练习要有终点，否则只是浏览。

• 目标：能说清结构
• 下一步：定位功能
• 再下一步：改行为
• 最后：写脚本
• 验证：.plt 与 .got 支撑延迟绑定，函数第一次被调用时才把真实地址写进 GOT

把目标拆小

每个练习都要有明确终点：

程序头表决定加载时的内存映射，节区头表只在链接与调试时有意义，可以完全剥离。

• 第一个：能说清一个程序的结构
• 第二个：能定位一个具体功能的位置
• 第三个：能改一处行为并验证
• 第四个：能写脚本自动化前三个

怎么验证

.plt 与 .got 支撑延迟绑定，函数第一次被调用时才把真实地址写进 GOT。

没有验证的练习，等于看视频。

几个具体练法

下面这些是相对确定的细节：

• 静态链接会把 libc 打进二进制，体积 800KB 起步，符号信息也完整得多

卡住时怎么办

拿节区头表判断加载布局，遇到剥过的样本直接读不出。

卡住超过两天就换一个更小的目标，别硬耗。

一句实话

先看程序头表再谈其它，加载视图才是运行时的真相。

能复现的进度才是进度。

还有几处容易忽略的

这些细节不影响入门，但影响你判断的准确度。

• ELF 的入口是 _start 而不是 main，main 由 libc 的启动代码在初始化之后调用
• strip 只删掉符号表，字符串常量与调用结构依然可读，分析成本没有想象中高
• PIE 让装载基址随机化，但函数之间的相对偏移与调用关系完全不变，分析时按偏移定位而不是记地址
• 把 e_entry 当成 main，跟进去发现是启动代码
• 以为 strip 过的二进制就没法分析了

逆向是手艺，只能靠做完来学。