ELF 结构：结构决定了一切

ELF 的入口是 _start 而不是 main，main 由 libc 的启动代码在初始化之后调用

逆向的第一课不是工具，是「这个东西本来该长什么样」。

先说结论

结构读对了，一半的问题自己会消失。

• 先看头部：格式与位数
• 再看段表：布局与对齐
• 入口点不等于 main
• 重定位影响静态地址
• 交叉验证：静态链接会把 libc 打进二进制，体积 800KB 起步，符号信息也完整得多

先看骨架

程序头表决定加载时的内存映射，节区头表只在链接与调试时有意义，可以完全剥离。

结构对了，字段名可以慢慢猜；结构错了，猜对也是错的。

关键字段

.plt 与 .got 支撑延迟绑定，函数第一次被调用时才把真实地址写进 GOT。

几个具体细节

下面这些是相对确定的细节：

• 静态链接会把 libc 打进二进制，体积 800KB 起步，符号信息也完整得多
• strip 只删掉符号表，字符串常量与调用结构依然可读，分析成本没有想象中高

常见的读错方式

拿节区头表判断加载布局，遇到剥过的样本直接读不出。

把 e_entry 当成 main，跟进去发现是启动代码。

怎么验证自己读对了

用一个已知的工具交叉验证：先看程序头表再谈其它，加载视图才是运行时的真相。

还有几处容易忽略的

这些细节不影响入门，但影响你判断的准确度。

• ELF 的入口是 _start 而不是 main，main 由 libc 的启动代码在初始化之后调用
• PIE 让装载基址随机化，但函数之间的相对偏移与调用关系完全不变，分析时按偏移定位而不是记地址
• 把 e_entry 当成 main，跟进去发现是启动代码
• 以为 strip 过的二进制就没法分析了

逆向不是猜，是核对。