Linux可执行文件程序载入和执行过程

　　今天分析下Linux下一个可执行文件是怎么载入和执行的。
　　Linux下标准的可执行文件格式是ELF。
　　ELF（ExecutableandLinkingFormat）是一种对象文件的格式。
　　在linux系统中，一个ELF文件主要用来表示3种类型的文件
　　可执行文件：被操作系统中的加载器从硬盘中读取，加载到内存中去执行。目标文件（。o）：被链接器读取，用来产生一个可执行文件或者共享文件。共享文件（。so）：在动态链接的时候，由ldlinux。so来读取。
　　今天分析一下可执行文件类型。
　　当我们在Linux下的bash下输入一个命令执行可执行程序时，bash进程会调用fork（）创建一个新的进程，然后新的进程调用execve（）系统调用来执行指定的可执行程序。
　　原先的bash进程继续返回等待刚才启动的新进程结束，然后继续等待用户的输入。
　　execve（）系统调用原型如下：intexecve（constcharfilename，charconstargv〔〕，charconstenvp〔〕）；
　　他们的三个参数分别是被执行的程序文件名、执行参数和环境变量。
　　当调用execve（）系统调用时，进入内核调用过程如下sysexecve（）doexecve（）主要根据可执行文件进行构造linuxbinprm内核结构，该结构记录可执行文件信息，然后从formats链表中找到执行该执行文件的方法loadelfbinary
　　doexecve主要完成linuxbinprm内核结构的初始化，该结构定义如下：
　　structlinuxbinprm｛charbuf〔128〕；与可执行文件路径名的处理一样，每个参数的最大长度定为一个物理页，所以设置为一个页面指针数组，最大个数为32unsignedlongpage〔MAXARGPAGES〕；unsignedlongp；intshbang；可执行文件的性质，当时shell脚本时为1structinodeinode；可执行文件的inodeinteuid，egid；可执行文件的属性intargc，envc；命令行参数和环境变量数目charfilename；可执行文件的路径名｝；
　　该结构主要记录了执行可执行文件所有需要的信息。
　　其中page表示的是存放参数的页面数组，而p表示的是在这些数组的顶部，因为这些字符串是按照栈的方式存放的，也就是说，先分配地址更高的数组，向低地址方向增长，p就指向栈顶部。
　　结构如下图
　　最终执行可执行文件的接口为loadelfbinary。
　　具体实现如下：
　　staticintloadelfbinary（structlinuxbinprmbprm，structptregsregs）｛structelfhdrelfex；structelfhdrinterpelfex；structfilefile；。。。status0；loadaddr0；elfex（（structelfhdr）bprmbuf）；execheader比对四个字符，必须是0x7f、‘E’、‘L’、和‘F’if（elfex。eident〔0〕！0x7fstrncmp（elfex。eident〔1〕，ELF，3）！0）returnENOEXEC；映像类型必须是ETEXECif（elfex。etype！ETEXEC（elfex。emachine！EM386elfex。emachine！EM486）（！bprminodeiop！bprminodeiopdefaultfileops！bprminodeiopdefaultfileopsmmap））｛returnENOEXEC；｝；elfphdata（structelfphdr）kmalloc（elfex。ephentsizeelfex。ephnum，GFPKERNEL）；oldfsgetfs（）；setfs（getds（））；获取所有程序头表信息retvalreadexec（bprminode，elfex。ephoff，（char）elfphdata，elfex。ephentsizeelfex。ephnum）；setfs（oldfs）；elfppntelfphdata；elfbss0；elfbrk0；elfexecfilenoopeninode（bprminode，ORDONLY）；filecurrentfilesfd〔elfexecfileno〕；elfstack0xffffffff；elfinterpreterNULL；startcode0；endcode0；enddata0；oldfsgetfs（）；setfs（getds（））；处理解释器段，通过遍历每个段，找到PTINTERP类型段，也即是解释器段，找到说明需要运行过程中的动态链接。解释器段实际上只是一个字符串，即解释器的文件名，如libldlinux。so。2，或者64位机器上对应的叫做lib64ldlinuxx8664。so。2通过命令readelfl可执行文件获取解释器段信息type类型为INTERPfor（i0；ielfex。ephnum；i）｛检查是否有需要加载的解释器if（elfppntptypePTINTERP）｛该类型表示动态连接器elfinterpreter（char）kmalloc（elfppntpfilesz，GFPKERNEL）；根据其位置的poffset和大小pfilesz把整个解释器段的内容读入缓冲区；从用户程序的programheader中读取动态链接器的路径，比如lib64ldlinuxx8664。soretvalreadexec（bprminode，elfppntpoffset，elfinterpreter，elfppntpfilesz）；if（retval0）获取连接器的inodretvalnamei（elfinterpreter，interpreterinode）；if（retval0）解释器也是一个elf格式的程序，读入解释器的前128个字节，即解释器映像的头部retvalreadexec（interpreterinode，0，bprmbuf，128）；if（retval0）｛interpex（（structexec）bprmbuf）；execheaderinterpelfex（（structelfhdr）bprmbuf）；execheader｝；｝；elfppnt；｝；setfs（oldfs）；检查并读取解释器（也可以叫动态链接器）的程序头表if（elfinterpreter）｛。。。｝if（！bprmshbang）｛。。。｝在此清除掉了父进程的所有相关代码flusholdexec（bprm）；currentmmenddata0；currentmmendcode0；currentmmstartmmapELFSTARTMMAP；currentmmmmapNULL；elfentry（unsignedint）elfex。eentry；currentmmrss0；建立环境变量参数的页表映射，从虚拟地址0xC0000000UL处开始bprmpsetupargpages（0，bprmpage）；currentmmstartstackbprmp；oldfsgetfs（）；setfs（getds（））；elfppntelfphdata；for（i0；ielfex。ephnum；i）｛if（elfppntptypePTINTERP）｛setfs（oldfs）；不装入解释器，那么这个入口地址就是目标映像本身的入口地址if（interpretertype1）elfentryloadaoutinterp（interpex，interpreterinode）；加载textdatabss段如果需要装入解释器，就通过loadelfinterp装入其映像，并把将来进入用户空间的入口地址设置成loadelfinterp（）的返回值，即解释器映像的入口地址if（interpretertype2）elfentryloadelfinterp（interpelfex，interpreterinode）；oldfsgetfs（）；setfs（getds（））；iput（interpreterinode）；kfree（elfinterpreter）；if（elfentry0xffffffff）｛。。。｝；｝；类型为PTLOAD需要映射到进程的地址虚拟空间的if（elfppntptypePTLOAD）｛errordommap（file，elfppntpvaddr0xfffff000，elfppntpfilesz（elfppntpvaddr0xfff），PROTREADPROTWRITEPROTEXEC，MAPFIXEDMAPPRIVATE，elfppntpoffset0xfffff000）；ifdefLOWELFSTACKif（elfppntpvaddr0xfffff000elfstack）elfstackelfppntpvaddr0xfffff000；endifif（！loadaddr）loadaddrelfppntpvaddrelfppntpoffset；kelfppntpvaddr；if（kstartcode）startcodek；kelfppntpvaddrelfppntpfilesz；if（kelfbss）elfbssk；if（（elfppntpflagsPROTWRITE）endcodek）endcodek；if（enddatak）enddatak；kelfppntpvaddrelfppntpmemsz；if（kelfbrk）elfbrkk；｝；elfppnt；｝；setfs（oldfs）；kfree（elfphdata）；if（interpretertype！INTERPRETERAOUT）sysclose（elfexecfileno）；。。。currentexecutablebprminode；bprminodeicount；ifdefLOWELFSTACKcurrentstartstackpelfstack4；endifbprmpMAXARGPAGESPAGESIZE；createelftables填写目标文件的参数环境变量等必要信息在完成装入，启动用户空间的映像运行之前，还需要为目标映像和解释器准备好一些有关的信息，这些信息包括常规的argc、envc等等，还有一些辅助向量（AuxiliaryVector）。这些信息需要复制到用户空间，使它们在CPU进入解释器或目标映像的程序入口时出现在用户空间堆栈上。这里的createelftables（）就起着这个作用。bprmp（unsignedlong）createelftables（（char）bprmp，bprmargc，bprmenvc，（interpretertypeINTERPRETERELF？elfex：NULL），loadaddr，（interpretertypeINTERPRETERAOUT？0：1））；if（interpretertypeINTERPRETERAOUT）currentmmargstartstrlen（passedfileno）1；调整内存映射内容currentmmstartbrkcurrentmmbrkelfbrk；currentmmendcodeendcode；currentmmstartcodestartcode；currentmmenddataenddata；currentmmstartstackbprmp；currentsuidcurrenteuidbprmeuid；currentsgidcurrentegidbprmegid；currentmmbrk（elfbss0xfff）0xfffff000；sysbrk（（elfbrk0xfff）0xfffff000）；padzero（elfbss）；eip和esp改成新的地址，就使得CPU在返回用户空间时就进入新的程序入口startthread（regs，elfentry，bprmp）；if（currentflagsPFPTRACED）sendsig（SIGTRAP，current，0）；MODDECUSECOUNT；return0；｝staticinlinevoidstartthread（structptregsregs，unsignedlongeip，unsignedlongesp）｛regscsUSERCS；regsdsregsesregsssregsfsregsgsUSERDS；regseipeip；regsespesp；｝
　　该函数主要完成的功能如下：检查ELF可执行文件的有效性，比如魔数、程序头表中段的数量。寻找动态链接的。interp段，设置动态链接器路径。根据ELF可执行文件的程序头表的描述，对ELF文件进行映射，比如代码段，数据段等。初始化ELF进程环境。将系统调用的返回地址修改为ELF可执行文件的入口点，这个入口点取决于程序的链接方式，若是静态链接，则入口地址为ELF文件的文件头中eentry所指的地址；对于动态链接的ELF可执行文件，程序入口点是动态链接器。
　　当loadelfbinary（）执行完毕，返回至doexecve（）再返回至sysexecve（）时，由于上述步骤已经把系统调用的返回地址改成了被装载的ELF可执行程序的入口地址，所以当sysexecve（）系统调用从内核态返回到用户态时，EIP寄存器直接跳转到了LF程序的入口地址，于是新的程序开始执行，ELF可执行文件装载完成。