有没有办法检测 ELF 二进制文件是否损坏/篡改？

Question

如何以编程方式检测 ELF 二进制文件是否被篡改或损坏？

例如，如果我删除 ELF 二进制文件（或库共享对象）的后半部分并粘贴随机文本，这将损坏它并且之后将无法工作。我想检测 Unix ELF 32 二进制文件或 UNIX 共享 C 库对象是否受到此影响。

谢谢。

Answer 1

我不确定你在想什么，但是验证 ELF 二进制文件的“正确方法”是使用 SHA-1、MD5 等哈希值。

当你创建 ELF 文件时，你还创建了“签名”文件”使用此 HASH 算法，即 MD5 并验证结果。

例如，在 Solaris 上，您可以使用命令创建 MD5、SHA1、SHA256 摘要。

# digest -a [algorithm] [/path/to/file] {-v}

因此，要验证“/bin/sh”以防止修改，您应该

# digest -v -a md5 /bin/sh
md5 (/bin/sh) = f4ad35f5246f817d68f4895463d79b09

# digest -v -a sha1 /bin/sh
sha1 (/bin/sh) = aa3843a19f2225458d7e3e765f44e229a09c0ad0

# digest -v -a sha256 /bin/sh
sha256 (/bin/sh) = a5e1a0062bb6600f06e029ce58f500169e966400b173b7fba504d5cd4635f291

在此处提供更多西班牙语示例 MD5 在 Solaris 中的位置以及如何使用它

如果散列不是解决方案，您可以使用（在Solaris上）命令来验证ELF为
elfdump 和 ldd

您可以将 ldd 与 -iv 一起使用来验证共享库初始化

itily@openzooey:~/hello.world$ ldd -iv hello

   find object=libc.so.1; required by hello
        libc.so.1 =>     /lib/libc.so.1
   find version=libc.so.1
        libc.so.1 (SYSVABI_1.3) =>       /lib/libc.so.1
        libc.so.1 (SUNWprivate_1.1) =>   /lib/libc.so.1

   object=/lib/libc.so.1; filter for /usr/lib/ld.so.1

   object=/lib/libc.so.1; filter for libm.so.2

   find object=libm.so.2; required by /lib/libc.so.1
        libm.so.2 =>     /lib/libm.so.2

   find object=libc.so.1; required by /lib/libm.so.2
   find version=libc.so.1
        libc.so.1 (SUNW_1.1) =>  /lib/libc.so.1
        libc.so.1 (SUNWprivate_1.1) =>   /lib/libc.so.1

   init object=/lib/libc.so.1

要生成以下校验和ELF 你可以使用选项-k

itily@openzooey:~/hello.world$ elfdump -k hello

elf checksum: 0x8922

但是，如果你没有可信的ELF来比较，我认为这有点困难。

我希望这就是你正在寻找的，

Urko，