PE，ELF，COFF

本文来自

(1)腾讯元宝

(2)程序员的自我修养

PE（Portable Executable）是一种文件格式，主要用于Windows操作系统中的可执行文件（如.exe、.dll、.sys等）。PE格式是Windows操作系统中标准的可执行文件格式，由微软开发，广泛应用于32位和64位的Windows系统中。

Portable ： [计] 可移植的

PE文件格式的主要特点：

跨平台兼容性：
- 尽管PE格式主要用于Windows，但其设计具有一定的可移植性，可以在不同的硬件架构上运行（如x86、x64等）。
结构清晰：
- PE文件由多个部分组成，包括文件头、节表（Section Table）、数据节（Sections）等。每个部分都有明确的功能和用途。
支持多种文件类型：
- PE格式不仅用于可执行文件（.exe），还用于动态链接库（.dll）、设备驱动程序（.sys）等。
丰富的元数据：
- PE文件中包含大量元数据，如导入表、导出表、资源表等，这些信息用于描述文件的运行环境和依赖关系。
支持动态链接：
- PE格式支持动态链接库（DLL），允许程序在运行时加载和调用外部代码。

PE文件的主要结构：

DOS头（DOS Header）：
- 用于兼容早期的DOS系统，包含一个简单的DOS程序（通常是提示“此程序不能在DOS模式下运行”）。
PE文件头（PE Header）：
- 包含文件的基本信息，如文件类型（32位或64位）、入口点地址、节表数量等。
可选头（Optional Header）：
- 包含更详细的信息，如代码段大小、数据段大小、堆栈大小、入口点地址等。
节表（Section Table）：
- 描述文件中各个节（Section）的信息，如代码节、数据节、资源节等。
节（Sections）：
- 包含实际的数据和代码，如.text（代码）、.data（数据）、.rsrc（资源）等。

PE文件的应用：

可执行文件（.exe）：Windows程序的主要执行文件。
动态链接库（.dll）：包含可被多个程序共享的代码和资源。
设备驱动程序（.sys）：用于与硬件设备交互。
其他文件类型：如控制面板扩展（.cpl）、屏幕保护程序（.scr）等。

PE格式是Windows生态系统中非常重要的一部分，了解其结构和功能对于开发、调试和逆向工程都有重要意义。

ELF（Executable and Linkable Format，可执行与可链接格式）是一种广泛用于类Unix操作系统（如Linux、BSD等）中的标准文件格式，用于表示可执行文件、目标文件（object files）、共享库（shared libraries）以及核心转储文件（core dumps）。ELF格式由Unix系统实验室（USL）开发，现已成为类Unix系统中的主流文件格式。

ELF文件格式的主要特点：

跨平台兼容性：
- ELF格式支持多种硬件架构（如x86、ARM、MIPS、RISC-V等），使其能够在不同的平台上使用。
模块化设计：
- ELF文件由多个部分组成，每个部分都有明确的功能，使得文件结构清晰且易于扩展。
支持多种文件类型：
- ELF格式不仅用于可执行文件，还用于目标文件、共享库和核心转储文件。
动态链接支持：
- ELF格式支持动态链接，允许程序在运行时加载和调用共享库中的函数。
丰富的元数据：
- ELF文件中包含大量元数据，如符号表、重定位表、段表等，这些信息用于描述文件的运行环境和依赖关系。

ELF文件的主要结构：

ELF头（ELF Header）：
- 包含文件的基本信息，如文件类型（可执行文件、目标文件等）、目标架构、入口点地址、段表（Section Header Table）和程序头表（Program Header Table）的位置等。
程序头表（Program Header Table）：
- 描述文件中的段（Segments）信息，用于加载和执行程序。每个段对应一个程序头表项。
段头表（Section Header Table）：
- 描述文件中的节（Sections）信息，用于链接和调试。每个节对应一个段头表项。
段（Segments）：
- 包含实际的数据和代码，如代码段（.text）、数据段（.data）、只读数据段（.rodata）等。段是加载和执行程序时的基本单位。
节（Sections）：
- 包含更细粒度的数据和代码，如符号表（.symtab）、字符串表（.strtab）、重定位表（.rel.text）等。节是链接和调试时的基本单位。

ELF文件的应用：

可执行文件：用于运行程序，如Linux中的可执行文件（如/bin/ls）。
目标文件（.o）：编译过程中生成的中间文件，包含未链接的代码和数据。
共享库（.so）：包含可被多个程序共享的代码和资源，如Linux中的动态链接库（如libc.so）。
核心转储文件（core dump）：程序崩溃时生成的文件，用于调试和分析。

ELF与PE的区别：

操作系统：ELF主要用于类Unix系统（如Linux、BSD），而PE主要用于Windows系统。
文件结构：ELF和PE的文件结构有所不同，ELF更强调模块化和跨平台兼容性，而PE更注重与Windows系统的集成。
动态链接：ELF和PE都支持动态链接，但实现方式有所不同。

ELF格式是类Unix生态系统中非常重要的一部分，了解其结构和功能对于开发、调试和逆向工程都有重要意义。

COFF（Common Object File Format，通用对象文件格式）是一种用于表示可执行文件、目标文件（object files）和库文件的标准文件格式。它最初由AT&T的Unix系统实验室（USL）开发，并被广泛应用于早期的Unix系统（如System V）以及一些现代操作系统（如Windows）中。COFF是ELF（Executable and Linkable Format）的前身，许多现代文件格式（如PE和ELF）都受到了COFF的启发。

COFF文件格式的主要特点：

模块化设计：
- COFF文件由多个部分组成，每个部分都有明确的功能，使得文件结构清晰且易于扩展。
支持多种文件类型：
- COFF格式不仅用于可执行文件，还用于目标文件和库文件。
符号表和重定位信息：
- COFF文件中包含符号表（Symbol Table）和重定位信息（Relocation Information），这些信息用于链接和调试。
支持分段存储：
- COFF文件将代码和数据分成多个段（Sections），如代码段（.text）、数据段（.data）、只读数据段（.rodata）等。

COFF文件的主要结构：

文件头（File Header）：
- 包含文件的基本信息，如文件类型（可执行文件、目标文件等）、目标架构、段表（Section Table）和符号表（Symbol Table）的位置等。
段表（Section Table）：
- 描述文件中的段（Sections）信息，每个段对应一个段表项。段表中包含段的名称、大小、偏移量等信息。
段（Sections）：
- 包含实际的数据和代码，如代码段（.text）、数据段（.data）、只读数据段（.rodata）等。段是链接和调试时的基本单位。
符号表（Symbol Table）：
- 包含文件中定义的符号（如函数名、变量名）及其相关信息，用于链接和调试。
重定位信息（Relocation Information）：
- 包含需要在链接时进行重定位的地址信息，用于将目标文件链接成可执行文件或共享库。

COFF文件的应用：

目标文件（.o）：编译过程中生成的中间文件，包含未链接的代码和数据。
可执行文件：用于运行程序，如早期的Unix系统中的可执行文件。
库文件（.a）：包含多个目标文件的集合，用于静态链接。

COFF的演变：

ELF格式：ELF格式是COFF的继任者，广泛应用于现代类Unix系统（如Linux、BSD）中。ELF在COFF的基础上进行了扩展和优化，支持更多的特性和更复杂的文件结构。
PE格式：Windows操作系统中的PE（Portable Executable）格式也受到了COFF的启发，PE文件头中包含一个COFF文件头。