作者：丁锦安（3388752540ding@gmail.com）

《Linux ELF与C/C++底层运行机制全景揭秘》

第 1 章 导论

1.ELF 文件的三种基本形态 (.o 可重定位文件、.so 共享库、Executable 可执行文件)

1. 1可重定位文件 (Relocatable File, .o 文件)

• 诞生阶段：由编译器和汇编器生成。当你执行 gcc -c main.c -o main.o 时，得到的就是可重定位文件。静态库（.a 文件）本质上也就是把多个 .o 文件打包压缩在一起的集合（类似于零部件仓库）。
• 核心特征：
  • 地址未定：在这个阶段，代码里所有的函数地址、全局变量地址全都是 0x00000000（或者相对偏移）。因为此时编译器不知道这个文件最终会被放在内存的哪个位置。
  • 重定位表（Relocation Table）：这是 .o 文件最重要的资产。它包含 .rela.text 和 .rela.data 这样的节（Section），里面记录着一张“待办事项表”：“请链接器在最终合并时，帮我把第 15 行的 printf 地址填上真正的内存地址。”
  • 只有 SHT，通常没有 PHT：因为它不需要被操作系统直接加载到内存运行，所以不需要 PHT（程序头表）。它主要是给链接器 (Linker) 看的。
• ELF 头标志：e_type = ET_REL (值为 1)

1. 2 可执行文件 (Executable File, 通常无后缀)

• 诞生阶段：由链接器（ld）将多个 .o 文件（以及 .a 静态库）缝合在一起，完成地址分配和符号决议后生成。当你执行 gcc main.o utils.o -o my_app 时产生。
• 核心特征：
  • 地址已绑定：所有的内部函数调用、全局变量访问的地址，都已经被链接器修正并固定下来了（或者通过相对地址固定）。
  • 拥有入口点（Entry Point）：ELF Header 中的 e_entry 字段不再为空，它指向程序的绝对起始指令地址（通常是 _start）。
  • PHT 是绝对核心：它必须包含 Program Header Table。当你执行这个文件时，内核的 execve 系统调用完全依赖 PHT 来把文件的各个段（代码段、数据段）映射到虚拟内存中。
• ELF 头标志：
  • 传统非随机化程序：e_type = ET_EXEC (值为 2)
  • **【进阶注意】**现代 Linux 默认开启 PIE（位置无关可执行文件）安全机制，为了让可执行文件也能每次在内存中随机浮动，现代的 Executable 实际上被标记为 e_type = ET_DYN (值为 3)。

1. 3 共享库文件 (Shared Object File, .so 文件)

通俗比喻：城市里的公共加油站或共享充电宝。每辆车（每个进程）需要的时候都可以去用它，而且全城只需要建一份。

---

本文2026-09-05首发于，最后修改于2026-09-05

]]>