如何在Fedora系统上调试ELF加载过程并定位执行格式错误

1. 初步快速校验：file 和 readelf #

先确认文件基本属性与当前系统的兼容性：

• 执行file ./myElfFile，查看文件的架构、类型标识，比如是否为当前系统支持的指令集（如x86_64/i386）、是否为可执行文件（而非共享库或核心转储）。
• 执行readelf -h ./myElfFile查看ELF头核心字段：重点检查Class（32/64位匹配性）、Data（字节序是否与系统一致）、Machine（架构类型）、Type（是否为EXEC类型可执行文件），这些字段不匹配会直接触发格式错误。

2. 用户态加载器调试：ld.so verbose模式 #

Linux的ELF加载器是/lib64/ld-linux-x86-64.so.2（x86_64系统），直接调用加载器并开启调试输出，可获取加载过程的详细错误：

/lib64/ld-linux-x86-64.so.2 --verbose ./myElfFile

或开启全量调试日志：

LD_DEBUG=all ./myElfFile

若错误发生在用户态加载阶段，这里会输出具体原因，比如ELF头校验失败、缺失必要程序段、权限不兼容等。

3. 系统调用级追踪：strace #

用strace追踪执行时的系统调用流，定位execve（执行二进制的核心调用）的错误返回：

strace -v ./myElfFile

遇到execve返回ENOEXEC错误时，对应你触发的格式错误。加上-k参数可显示内核调用栈，进一步缩小问题范围：

strace -vk ./myElfFile

4. 内核级调试：GDB调试内核 #

若问题出在内核的ELF校验逻辑，可通过内核调试定位：

1. 安装内核调试包（kernel-debuginfo、kernel-devel），修改/etc/default/grub的GRUB_CMDLINE_LINUX添加debug kgdboc=ttyS0,115200，更新grub后重启系统。
2. 用GDB连接内核，在ELF加载核心函数load_elf_binary设置断点：

b load_elf_binary
c

执行./myElfFile触发断点后，单步调试内核对ELF头、程序头的校验流程，可精准定位失败步骤（比如elf_check_arch架构检查不通过、elf_read_implies_exec权限校验失败等）。

5. 动态追踪：bpftrace 轻量内核分析 #

无需重启内核，用bpftracehook内核ELF加载的关键函数，输出校验步骤的返回值：

kprobe:load_elf_binary
{
    printf("开始加载ELF，进程ID：%d\n", pid);
}

kprobe:elf_check_arch
{
    printf("执行架构校验\n");
}

kretprobe:elf_check_arch
{
    printf("架构校验返回值：%d\n", retval);
}

运行脚本后执行你的ELF文件，即可看到内核关键校验步骤的结果，快速定位失败点。

6. ELF合法性全面检查：elfutils工具集 #

用elfutils工具做深度合规性检查：

• eu-readelf -l ./myElfFile：查看程序头表，检查可执行段、加载地址的合法性。
• eu-elflint ./myElfFile：对ELF文件做全语法校验，直接输出不符合规范的字段或结构问题。

内容的提问来源于stack exchange，提问作者the_endian