ELF文件程序头是否位置敏感？修改后崩溃原因分析

问题背景 #

我正在学习ELF文件格式，尝试研究ELF文件打补丁的方法。《ELF_Format.pdf》中提到：

尽管图示中程序头表紧跟在ELF头之后，节头表位于节之后，但实际文件可能有所不同。此外，节和段没有指定顺序，只有ELF头在文件中的位置是固定的（第8页）。

出于好奇，我尝试修改程序头的位置，操作步骤如下：

• dd if=test.elf skip=64 bs=1 count=504 of=program_header.bin // 复制原始程序头（PH偏移量=64，PH表项大小=56，PH表项数量=9）
• cat program_header.bin >> test.elf // 将程序头附加到ELF文件末尾
• 修改ELF头的e_phoff字段，指向步骤2中复制的程序头位置。

修改后，readelf -l test.elf显示程序头已成功修改，但执行修改后的ELF文件时触发段错误：

[root@localhost 1]# ./test.elf 
Segmentation fault (core dumped)
[root@localhost 1]# ls
program_header.bin test.elf  test.elf.54214.core
[root@localhost 1]#
[root@localhost 1]# gdb test.elf -c test.elf.54214.core 
GNU gdb (GDB) Rocky Linux 10.2-13.el9
Copyright (C) 2021 Free Software Foundation, Inc.
License GPLv3+: GNU GPL version 3 or later <http://gnu.org/licenses/gpl.html>
This is free software: you are free to change and redistribute it.
There is NO WARRANTY, to the extent permitted by law.
Type "show copying" and "show warranty" for details.
This GDB was configured as "x86_64-redhat-linux-gnu".
Type "show configuration" for configuration details.
For bug reporting instructions, please see:
<https://www.gnu.org/software/gdb/bugs/>.
Find the GDB manual and other documentation resources online at:
    <http://www.gnu.org/software/gdb/documentation/>.

For help, type "help".
Type "apropos word" to search for commands related to "word"...
Reading symbols from test.elf...
(No debugging symbols found in test.elf)
[New LWP 54214]

warning: Section `.reg-xstate/54214' in core file too small.
Core was generated by `./test.elf'.
Program terminated with signal SIGSEGV, Segmentation fault.

warning: Section `.reg-xstate/54214' in core file too small.
#0  0x00007fad7fcc2b38 in ?? ()
(gdb) bt
#0  0x00007fad7fcc2b38 in ?? ()
#1  0x0000000000000000 in ?? ()
(gdb) 

我想知道ELF程序头是否存在位置敏感性，是什么原因导致了核心转储？我查阅了ELF格式手册并进行了搜索，但未找到答案。

原因分析与解答 #

ELF程序头的位置并非完全无约束，触发段错误的核心原因可从以下几点拆解：

1. 程序头表与可加载段的范围冲突 #

多数ELF文件的原始程序头表会被包含在第一个LOAD类型段（通常对应代码段或.text段）的文件偏移范围内。当你将程序头表移到文件末尾并修改e_phoff后，原始程序头所在的区域仍属于该LOAD段的文件范围，但你并未更新对应段的p_filesz（文件大小）或p_offset（文件偏移）字段。加载器会将这段包含旧程序头的区域映射到内存，这些非代码数据被误当作可执行内容处理，最终触发段错误。

2. 加载器的隐性逻辑约束 #

虽然ELF规范允许程序头表位于文件任意位置，但Linux实际使用的加载器（ld-linux.so）存在未写入规范的隐性检查。例如部分加载器实现默认程序头表位于文件前半部分，或不会超出已定义段的范围。当程序头被移到文件末尾时，加载器处理流程中可能出现指针越界或逻辑错误，导致无法正确初始化程序运行环境。

3. 核心转储的栈帧验证 #

从gdb栈帧来看，程序终止于0x00007fad7fcc2b38——这个地址属于动态链接器的内存区域（用户态共享库通常以0x7f开头），说明错误发生在动态链接器加载程序的阶段，而非程序自身代码执行阶段，进一步验证了加载器处理异常位置程序头时的逻辑错误。

修复建议 #

• 若仅测试程序头位置灵活性，需同步更新所有LOAD段的p_offset和p_filesz字段，确保原始程序头所在区域不再被包含在任何可加载段的文件范围内。
• 不要直接复用原始程序头表，需重新构建程序头表，保证每个段的描述与文件实际布局完全匹配。

内容的提问来源于stack exchange，提问作者Tsy Senyon