linux - 如何在linux中将PE(Portable Executable)格式转换为ELF

Question

将 PE 二进制文件转换为 ELF 二进制文件的最佳工具是什么？

以下是这个问题的简要动机:

1. 假设我有一个简单的 C 程序。
2. 我使用 linux 的 gcc 编译它(这给出了 ELF)，并使用 'i586-mingw32msvc-gcc' 为 Windows 编译了它(这给出了一个 PE 二进制文件)。
3. 我想分析这两个二进制文件的相似之处，使用 Bitblaze 的静态分析工具 - vine( http://bitblaze.cs.berkeley.edu/vine.html )
4. 现在vine对PE二进制文件的支持不是很好，所以我想转换PE->ELF，然后继续我的比较/分析。

由于所有分析都必须在 Linux 上运行，所以我更喜欢在 Linux 上运行的实用程序/工具。

谢谢

Answer 1

可以将 EXE 重建为 ELF 二进制文件，但由于缺少操作系统，生成的二进制文件在加载后很快就会出现段错误。

这是一种方法。

总结

1. 转储 EXE 文件的节标题。
2. 从 EXE 中提取原始部分数据。
3. 将原始节数据封装在 GNU 链接器脚本片段中。
4. 编写链接描述文件以构建 ELF 二进制文件，包括上一步中的那些脚本。
5. 使用链接描述文件运行 ld 以生成 ELF 文件。
6. 运行新程序，并观察它的段错误，因为它没有在 Windows 上运行(它会尝试调用不存在的导入地址表中的函数)。

详细示例

1. 转储 EXE 文件的节标题。我正在使用 mingw 交叉编译器包中的 objdump 来执行此操作。

   $ i686-pc-mingw32-objdump -h trek.exe
   
   trek.exe:         file format pei-i386
   
   Sections:
   Idx Name          Size      VMA       LMA       File off  Algn
     0 AUTO          00172600  00401000  00401000  00000400  2**2
                     CONTENTS, ALLOC, LOAD, READONLY, CODE
     1 .idata        00001400  00574000  00574000  00172a00  2**2
                     CONTENTS, ALLOC, LOAD, DATA
     2 DGROUP        0002b600  00576000  00576000  00173e00  2**2
                     CONTENTS, ALLOC, LOAD, DATA
     3 .bss          000e7800  005a2000  005a2000  00000000  2**2
                     ALLOC
     4 .reloc        00013000  0068a000  0068a000  0019f400  2**2
                     CONTENTS, ALLOC, LOAD, READONLY, DATA
     5 .rsrc         00000a00  0069d000  0069d000  001b2400  2**2
                     CONTENTS, ALLOC, LOAD, READONLY, DATA
   

2. 使用 dd(或十六进制编辑器)从 EXE 中提取原始部分数据。在这里，我将复制代码和数据部分(在本例中命名为 AUTO 和 DGROUP)。不过，您可能想要复制其他部分。

   $ dd  bs=512  skip=2     count=2963  if=trek.exe  of=code.bin
   $ dd  bs=512  skip=2975  count=347   if=trek.exe  of=data.bin
   

   请注意，我已将文件偏移量和部分大小从十六进制转换为十进制以用作 skip 和 count，但我使用的 block 大小为 512 dd 中的字节以加快进程(示例:0x0400 = 1024 字节 = 2 个 block @ 512 字节)。

3. 将原始节数据封装在 GNU ld 链接器脚本片段中(使用 BYTE 指令)。这将用于填充部分。

   cat code.bin | hexdump -v -e '"BYTE(0x" 1/1 "%02X" ")\n"' >code.ld
   cat data.bin | hexdump -v -e '"BYTE(0x" 1/1 "%02X" ")\n"' >data.ld
   

4. 编写链接描述文件以构建 ELF 二进制文件，包括上一步中的那些脚本。请注意，我还为未初始化数据 (.bss) 部分预留了空间。

   start = 0x516DE8;
   ENTRY(start)
   OUTPUT_FORMAT("elf32-i386")
   SECTIONS {
       .text 0x401000 :
       {
           INCLUDE "code.ld";
       }
       .data 0x576000 :
       {
           INCLUDE "data.ld";
       }
       .bss 0x5A2000 :
       {
           . = . + 0x0E7800;
       }
   }
   

5. 使用 GNU ld 运行链接描述文件以生成 ELF 文件。请注意，由于我使用的是 64 位 Linux，因此我必须使用仿真模式 elf_i386，否则会生成 64 位 ELF。

   $ ld -o elf_trek -m elf_i386 elf_trek.ld
   ld: warning: elf_trek.ld contains output sections; did you forget -T?
   $ file elf_trek
   elf_trek: ELF 32-bit LSB  executable, Intel 80386, version 1 (SYSV), 
             statically linked, not stripped
   

6. 运行新程序，并观察它的段错误，因为它没有在 Windows 上运行。

   $ gdb elf_trek
   (gdb) run
   Starting program: /home/quasar/src/games/botf/elf_trek 
   
   Program received signal SIGSEGV, Segmentation fault.
   0x0051d8e6 in ?? ()
   (gdb) bt
   \#0  0x0051d8e6 in ?? ()
   \#1  0x00000000 in ?? ()
   (gdb) x/i $eip
   => 0x51d8e6:    sub    (%edx),%eax
   (gdb) quit
   

   该位置的 IDA Pro 输出:

   0051D8DB ; size_t stackavail(void)
   0051D8DB proc    stackavail near
   0051D8DB         push    edx
   0051D8DC         call    [ds:off_5A0588]
   0051D8E2         mov     edx, eax
   0051D8E4         mov     eax, esp
   0051D8E6         sub     eax, [edx]
   0051D8E8         pop     edx
   0051D8E9         retn
   0051D8E9 endp    stackavail
   

考虑到 Wine 项目，对于将二进制文件移植到 Linux，这是毫无意义的。 对于像 OP 这样的情况，它可能是合适的。