Gangbare binaire bestandsindelingen

Het Executable and Linkable Format (ELF) is de standaardindeling voor binaire bestanden op Unix-achtige systemen, waaronder Linux, FreeBSD en Solaris. De indeling is zeer flexibel en wordt gebruikt voor uitvoerbare bestanden, gedeelde bibliotheken, objectcode en core dumps.

Dankzij het ontwerp kunnen bestanden efficiënt worden geladen en uitgevoerd op verschillende architecturen.

Belangrijke onderdelen van een ELF-bestand zijn:

• ELF Header: Bevat metagegevens zoals de architectuur, het adres van het ingangspunt en de versie.
• Program Header Table: Beschrijft hoe het OS segmenten (verzamelingen secties) in het geheugen moet laden.
• Section Header Table: Geeft informatie over alle secties in het bestand.
• .text: Bevat de uitvoerbare machinecode van het programma.
• .data: Slaat geïnitialiseerde globale en statische variabelen op.
• .rodata: Bevat alleen-lezengegevens, zoals letterlijke tekenreeksen.

De indeling Portable Executable (PE) is de standaardindeling voor binaire bestanden van 32-bits en 64-bits Windows-besturingssystemen. Ze wordt gebruikt voor uitvoerbare bestanden (.exe), DLL's (.dll) en objectbestanden.

PE is een aangepaste versie van het Common Object File Format (COFF) en vervult op Windows een vergelijkbare rol als ELF.

Belangrijke onderdelen van een PE-bestand zijn:

• DOS Header: Een kleine header voor achterwaartse compatibiliteit met MS-DOS.
• PE Header: Bevat de handtekening 'PE\0\0' en informatie uit de bestandsheader.
• Optional Header: Cruciaal voor het laden; bevat het adres van het ingangspunt, de image base en informatie over de uitlijning van secties.
• Section Table: Somt alle secties in het PE-bestand op en beschrijft ze.
• .text: Bevat de uitvoerbare machinecode.
• .data: Slaat geïnitialiseerde globale en statische gegevens op.
• .rsrc: Bevat toepassingsbronnen zoals pictogrammen, menu's en dialoogvensters.

Mach-O (Mach Object) is de oorspronkelijke indeling voor uitvoerbare bestanden van Apple-besturingssystemen, waaronder macOS, iOS, watchOS en tvOS. De indeling is gebaseerd op de objectindeling van de Mach-kernel.

Mach-O-bestanden worden meestal herkend aan hun 'magic number' aan het begin van het bestand, net als ELF- en PE-bestanden.

Belangrijke onderdelen van een Mach-O-bestand zijn:

• Mach-O Header: Geeft de doelarchitectuur (bijvoorbeeld x86_64, ARM64) en het aantal laadopdrachten aan.
• Load Commands: Deze zijn cruciaal! Ze vertellen de dynamische linker hoe het proces moet worden ingericht, onder andere door segmenten te definiëren, gedeelde bibliotheken op te geven en het ingangspunt in te stellen.
• __TEXT segment: Bevat de uitvoerbare code en alleen-lezengegevens.
• __DATA segment: Bevat schrijfbare gegevens.
• __LINKEDIT segment: Bevat symbool- en tekenreekstabellen die voor dynamische koppeling worden gebruikt.

Hoewel alle drie de indelingen code en gegevens organiseren, hebben ze verschillende kenmerken:

• ELF: Zeer flexibel en gebruikt Program Header Tables en Section Header Tables voor het laden en de structuur. Veelgebruikt op Linux/Unix.
• PE: Specifiek voor Windows, bevat een verouderde DOS-header en leunt sterk op de Optional Header voor informatie over het laden.
• Mach-O: Voor Apple-besturingssystemen; de Load Commands staan centraal in de manier waarop het OS en de dynamische linker het binaire bestand verwerken.

Elke indeling is geoptimaliseerd voor de bijbehorende OS-omgeving.

We hebben drie belangrijke indelingen voor binaire bestanden verkend:

• ELF: Standaard voor Linux/Unix, met headers en secties zoals .text en .data.
• PE: Standaard voor Windows, met DOS-, PE- en Optional Headers en secties zoals .text en .rsrc.
• Mach-O: Standaard voor Apple-besturingssystemen, met een header en belangrijke Load Commands om segmenten zoals __TEXT en __DATA te definiëren.

Inzicht in deze structuren is fundamenteel voor effectieve reverse-engineering!