file(1)工具如何区分ELF共享对象与ELF可执行文件？

• 仅通过ELF头的e_type字段无法区分ELF共享库和普通可执行文件。在Debian 11.4系统中，即便是ELF可执行文件，ht工具显示其e_type字段仍被标记为shared object file。原本e_type是区分两者的简便可靠方式，但GCC编译生成的文件统一用该值填充，不过file(1)工具却能准确识别文件类型。

• file(1)的判断逻辑是检查文件是否存在PT_INTERP程序头：共享库是在可执行文件加载后才被加载，无需自行加载解释器，因此不会有PT_INTERP段；而可执行文件（包括位置无关可执行文件PIE）需要加载动态链接器，所以会包含PT_INTERP段。

• 在file(1)源码的magic规则中，能找到这段关键定义：

0   name        elf-le
>16 leshort     0       no file type,
!:mime  application/octet-stream
>16 leshort     1       relocatable,
!:mime  application/x-object
>16 leshort     2       executable,
!:mime  application/x-executable
>16 leshort     3       ${x?pie executable:shared object},

最后一行的${x?pie executable:shared object}是file工具的magic语法，含义是：如果变量x为真（即文件包含PT_INTERP程序头），则判定为pie executable；否则判定为shared object。这里的x就对应是否存在PT_INTERP段的判断，这正是file(1)能准确区分两者的核心逻辑。

内容的提问来源于stack exchange，提问作者CurtisB