Ejecutables de Linux, cabeceras y segmentos

Un ELF tiene dos tablas que describen el mismo contenido para dos lectores distintos. Los segmentos (program headers) son la vista del cargador: qué trozos del archivo se copian a memoria, en qué dirección y con qué permisos. Las secciones (section headers) son la vista del enlazador y de las herramientas: .text, .data, la tabla de símbolos, etc.

La diferencia importa porque para ejecutarse solo hacen falta los segmentos. Alguien puede quitar la tabla de secciones y el programa funciona igual; lo único que pierde es información para quien lo lee. Un ELF sin secciones y sin símbolos (el término habitual es «stripped») no es sospechoso por sí solo —muchos programas se distribuyen así para pesar menos—, pero deja al analista con menos pistas.

Un ELF enlazado dinámicamente lista en su sección dinámica las bibliotecas compartidas que necesita (NEEDED). Es de las partes más legibles de un binario: dice con qué depende de qué. Un binario de reportes que necesita la biblioteca estándar y la matemática es normal; una biblioteca que no es del sistema ni de un paquete aprobado merece una pregunta: ¿quién la instaló y dónde está?

El método es el de siempre: la lista del binario contra la lista del inventario del servidor. Lo que está en la primera y no en la segunda es el candidato a mirar. No es culpable por existir; es el dato sin explicar.

Cada segmento de tipo LOAD lleva banderas de permisos: R (lectura), W (escritura), E (ejecución). Lo habitual son dos: uno de lectura y ejecución para el código, y otro de lectura y escritura para los datos. Un segmento que se puede escribir y ejecutar a la vez es poco habitual en los programas corrientes (aunque algunos herramientas antiguas o especiales lo producen), y por eso se anota como rareza a explicar.

También se lee la dirección virtual (VirtAddr) de cada segmento: dónde quedará en memoria. Es el dato con el que otra persona puede localizar exactamente el mismo segmento en otra salida del mismo archivo.

La cabecera del ELF de cron-reporte trae una nota: sin tabla de secciones y sin símbolos. Eso limita la lectura: no hay nombres de funciones que mirar, y las secciones no están para comparar tamaños. Quedan los segmentos, las bibliotecas, el punto de entrada y los permisos.

Con lo que queda se pueden hacer afirmaciones modestas y comprobables: «el archivo es un ELF de 64 bits para x86-64, enlazado dinámicamente, con una biblioteca ajena al inventario y un segmento escribible y ejecutable». Lo que no se puede afirmar es qué hace, ni que sea malicioso, ni que lo sea más o menos por estar sin símbolos.