ELF 标头字段

elf.architecture

ELF 文件的机器架构。

类型：关键字

示例： x86-64

扩展

elf.byte_order

ELF 文件的字节顺序。

类型：关键字

示例： 小端序

扩展

elf.cpu_type

ELF 文件的 CPU 类型。

类型：关键字

示例： Intel

扩展

elf.creation_date

尽可能从文件的元数据中提取。表示文件的构建或编译时间。它也可能被恶意软件创建者伪造。

类型：日期

扩展

elf.exports

导出元素名称和类型的列表。

类型：扁平化

注意：此字段应包含一个值数组。

扩展

elf.go_import_hash

ELF 文件中 Go 语言导入的哈希值，不包括标准库导入。导入哈希可用于对二进制文件进行指纹识别，即使在重新编译或发生其他代码级转换（这会更改更传统的哈希值）之后也是如此。

用于计算 Go 符号哈希的算法和参考实现可在此处找到 [此处](https://github.com/elastic/toutoumomoma）。

类型：关键字

示例： 10bddcb4cee42080f76c88d9ff964491

扩展

elf.go_imports

导入的 Go 语言元素名称和类型的列表。

类型：扁平化

扩展

elf.go_imports_names_entropy

根据 Go 导入列表计算的香农熵。

类型：长整型

扩展

elf.go_imports_names_var_entropy

根据 Go 导入列表计算的香农熵的方差。

类型：长整型

扩展

elf.go_stripped

如果文件是已剥离或混淆符号的 Go 可执行文件，则设置为 true；如果是非混淆的 Go 可执行文件，则设置为 false。

类型：布尔值

扩展

elf.header.abi_version

ELF 应用程序二进制接口 (ABI) 的版本。

类型：关键字

扩展

elf.header.class

ELF 文件的标头类。

类型：关键字

扩展

elf.header.data

ELF 标头的数 据表。

类型：关键字

扩展

elf.header.entrypoint

ELF 文件的标头入口点。

类型：长整型

扩展

elf.header.object_version

原始 ELF 文件为“0x1”。

类型：关键字

扩展

elf.header.os_abi

Linux 操作系统的应用程序二进制接口 (ABI)。

类型：关键字

扩展

elf.header.type

ELF 文件的标头类型。

类型：关键字

扩展

elf.header.version

ELF 标头的版本。

类型：关键字

扩展

elf.import_hash

ELF 文件中导入的哈希值。导入哈希可用于对二进制文件进行指纹识别，即使在重新编译或发生其他代码级转换（这会更改更传统的哈希值）之后也是如此。

这是 Windows PE imphash 的 ELF 实现。

类型：关键字

示例： d41d8cd98f00b204e9800998ecf8427e

扩展

elf.imports

导入元素名称和类型的列表。

类型：扁平化

注意：此字段应包含一个值数组。

扩展

elf.imports_names_entropy

根据导入元素名称和类型列表计算的香农熵。

类型：长整型

扩展

elf.imports_names_var_entropy

根据导入元素名称和类型列表计算的香农熵的方差。

类型：长整型

扩展

elf.sections

一个数组，包含 ELF 文件每个部分的对象。

这些对象中应存在的键由 elf.sections.* 下的子字段定义。

类型：嵌套

注意：此字段应包含一个值数组。

扩展

elf.sections.chi2

该部分的卡方概率分布。

类型：长整型

扩展

elf.sections.entropy

根据该部分计算的香农熵。

类型：长整型

扩展

elf.sections.flags

ELF 节列表标志。

类型：关键字

扩展

elf.sections.name

ELF 节列表名称。

类型：关键字

扩展

elf.sections.physical_offset

ELF 节列表偏移量。

类型：关键字

扩展

elf.sections.physical_size

ELF 节列表物理大小。

类型：长整型

扩展

elf.sections.type

ELF 节列表类型。

类型：关键字

扩展

elf.sections.var_entropy

根据该部分计算的香农熵的方差。

类型：长整型

扩展

elf.sections.virtual_address

ELF 节列表虚拟地址。

类型：长整型

扩展

elf.sections.virtual_size

ELF 节列表虚拟大小。

类型：长整型

扩展

elf.segments

一个数组，包含 ELF 文件每个段的对象。

这些对象中应存在的键由 elf.segments.* 下的子字段定义。

类型：嵌套

注意：此字段应包含一个值数组。

扩展

elf.segments.sections

ELF 对象段部分。

类型：关键字

扩展

elf.segments.type

ELF 对象段类型。

类型：关键字

扩展

elf.shared_libraries

此 ELF 对象使用的共享库列表。

类型：关键字

注意：此字段应包含一个值数组。

扩展

elf.telfhash

ELF 文件的 telefhash 符号哈希。

类型：关键字

扩展