这篇文章根据系列博客 “Making our own executable packer” 完整翻译 帮助你从基础开始实现一个可执行文件压缩工具。

系列缘起

作者在十二岁时发现把 .exe 文件重命名后能用记事本打开，看到一堆乱码却暗藏规律。这颗好奇的种子，几十年后长成了本系列。

使用者痛点：很多开发者看到 ELF、PE 等二进制格式时只能盲目猜测结构。缺乏程序化的解析思路，导致调试和逆向时常常“卡死”。本系列正是为了解决这类“看不懂二进制、无法定位入口”的痛点。

说到目标是，理解 Linux 可执行文件内部结构及其执行机制。接下来造出一个能把可执行文件压缩起来的程序——纯粹是为了好玩，也为学习底层技术提供实战案例。

整个系列专注于 64 位 Linux，使用 Rust 作为主要实现语言。作者创建了两个 crate：

• delf用于解析 ELF 文件的库。
• elk调用 delf实现加载和执行功能的命令行工具。怎么说呢，

第 1 篇：Linux 可执行文件里有什么？

ELF 格式基础

ELF自 SysV 发布后一直是 Linux 的标准可执行文件格式。下面是一段最小汇编程序示例：

;话说回来，hello.asm
global _start
section .text
_start这方面。mov rdi,1，stdout fd
mov rsi,msg;缓冲区地址
mov rdx,msg_len;长度
mov rax,1;write syscall
syscall
xor rdi,rdi;return code 0
mov rax,60;exit syscall
syscall
section .data
从msg来看，db "hi re",10
msg_len equ $ - msg

编译后得到约 4 KiB 的 ELF。可用 gzip -9 压缩到仅 150 B——这正是我们想要做的压缩动机。

手工解析 ELF 头

使用者痛点：初学者往往只会用 readelf -a 查看信息，却不懂如何自行定位关键字段。下面演示使用 xxd 手工查看前几字节：

$ xxd hello | head -n1
00000000: 7f45 4c46 0201 01... .ELF....

ELF 文件头包括 magic、class、endianness、version、OS ABI 等字段；话说回来，随后是类型、机器、入口点等信息。通过这些偏移量可以逐步定位段表，进而找到 .symtab/.strtab/.text/.data 等熟悉的段名。

用 nom 写解析器

使用者痛点：Panic!在解析二进制时频繁出现，因为缺少安全的字节切片处理。话说回来，使用 Rust 的 可以声明式地组合解析器。避免手写指针运算导致未定义行为。

// delf/src/lib.rs
impl File {
const MAGIC: &'static = b"\x7fELF";pub fn parse -> parse::Result {
use nom::{
说到bytes:。complete::{tag,take},sequence::tuple,error::context,};let = tuple((
context),context),// 64‑bit
context)。// little‑endian
context),context,tag))),context),))?
，Ok)
}
}

枚举与地址包装

User Pain Point: 使用关键字冲突导致代码难以阅读。例如 Rust 中的 type. 使用原始标识符 并配合宏生成安全枚举，可大幅降低错误率。

#
#
pub enum Type {
None = 0x0,Rel = 0x1,Exec = 0x2,Dyn = 0x3,Core = 0x4,}
#
#
pub enum Machine {
X86 = 0x03。X86_64 = 0x3e,}

地址新类型 Addr

#
pub struct Addr;impl core::fmt::Debug for Addr {
fn fmt -> core::fmt::Result {
write!不过，}
}

Hello World 示例运行结果：

$ ./target/debug/elk /bin/true
File { type: Dyn,machine: X86_64。entry_point: Addr }

第 2 篇：不用 exec，自己加载并执行 ELF

ASLR 与内存布局

User Pain Point:#ASLR 导致每次运行地址不同，使得硬编码地址失效。使用本工具观察同一程序两次运行的入口地址差异：

$ ./target/debug/elk ./samples/entry_point_main
main is at 0x5571c34e9139
$ ./target/debug/elk ./samples/entry_point_main
main is at 0x55f7a0f27139
# 地址随机，但高位保持不变 → ASLR 生效。

• 说到.text。只读+可执行，位于低地址。
• .rodata：只读数据。
• .bss/.data：读写，位于中间或高地址。
• 栈：最高端。其实，
• 堆：在栈与数据段之间动态增长。

Mmap 与内存权限

Pain point：直接读取文件内容后跳转会触发 segfault，因为默认内存不可执行。不过，正确做法是使用 分配具备 R/W/X 权限的页面并使用 MAP_FIXED 将段映射到它们要求的虚拟地址。

unsafe fn jmp {
let f: fn = core::mem::transmute;f，}
let mem = libc::mmap(
addr as *mut libc::c_void,size。prot,libc::MAP_PRIVATE | libc::MAP_FIXED,fd,offset as i64);

第 3 篇：位置无关代码

PIC 与 PIE 的冲突

Pain point：传统静态链接二进制只能装载到固定地址，一旦冲突就无法启动。现代 Linux 几乎全部采用 PIE。使得二进制能够在任意基址上运行，从而让 ASLR 发挥作用。

GOT 和相对寻址

hello-pie.asm
global _start
section .text
至于_start。mov rdi,1，stdout
lea rsi,;相对寻址
mov rdx,msg_len
mov rax,1;write syscalls
syscall
xor edi,edi;其实，exit code
mov eax,60;exit syscalls
syscall
section .data
msg这方面，db "hi re"。10
msg_len equ $-msg

会让汇编器生成基于当前指令指针的偏移量，无论代码被加载到哪里该偏移始终有效。

两个 PT_LOAD 段

• 第一段的观点是。R + X
• 从第二段来看，R + W

加载时先为整个映像申请连续虚拟空间，再按基址偏移分别映射两个段；入口点 = file.entry_point + base_offset。

filesz vs memsz

memsz 可大于 filesz。用于 BSS 段——未初始化全局变量在磁盘上不占空间，但在内存中需要零填充。怎么说呢，

第 4 篇：ELF 重定位

为什么需要重定位

PIE 加载后需要把占位符补成真实地址。这一步叫重定位

字段	含义
offset	需要修改的位置
type	决定计算方式
sym	关联符号
addend	额外加数

。

---