ELF Executable
| Format | ELF Executable |
|---|---|
| Kurzname | ELF |
| Kategorie | execution |
| Plattformen | Linux, Android, QNX |
| Crush Unterstützung | Noch nicht unterstützt |
| Status | Überprüft |
| Zuletzt überprüft | 2026-10-04 |
Forensische Relevanz
Natives Format für ausführbare Dateien und Shared Libraries unter Android und Linux. Unter Android sind ELF-Shared-Libraries (.so) in APK-Paketen unter lib/ enthalten und werden zur Laufzeit über JNI geladen — sie enthalten oft fest hinterlegte Zeichenketten, API-Endpunkte, Verschlüsselungsschlüssel und sicherheitsrelevante Logik, die im DEX-Bytecode nicht sichtbar ist. Malware-Autoren verlagern sensiblen Code häufig gerade deshalb in native Bibliotheken, weil ELF schwerer zu dekompilieren ist als DEX. Unter Linux geben ELF-Binärdateien Aufschluss über installierte Software und mögliche Implantate. Das Extrahieren von Zeichenketten ist ein schneller erster Schritt; eine vollständige Analyse erfordert Disassemblierung.
Signaturen
| Offset | Hex | ASCII (nicht druckbar als .) | Beschreibung |
|---|---|---|---|
| Offset 0 (0x0) | 7F 45 4C 46 | .ELF | ELF-Magic-Number |
Bekannte Dateiendungen
.so, .elf, .ko, .o
Referenzen
- System V ABI — generic ELF specification (gABI) https://refspecs.linuxfoundation.org/elf/gabi4+/contents.html
- ELF format specification (man page) https://man7.org/linux/man-pages/man5/elf.5.html
- Ghidra — open source reverse engineering tool (NSA) https://github.com/NationalSecurityAgency/ghidra
- Reversing Android native libraries (HackTricks) https://hacktricks.wiki/en/mobile-pentesting/android-app-pentesting/reversing-native-libraries.html
- ELF shared library injection forensics (Ryan O'Neill, 2016) https://engineering.backtrace.io/2016-04-14-elf-shared-library-injection-forensics/
Diesen Eintrag zitieren
Crush-Format-Referenz, „ELF Executable“. https://kalink0.github.io/crush-forensics/formats/de/elf/ — Quelle: crush/data/build_formats_db.py zum Commit 640a2a9928f4e36a976b89901512a8dce824d093, erstellt 2026-10-21 06:46:19 UTC.
Eintrag in der Quelldatei bei diesem Commit · Änderungshistorie der Quelle · Korrektur melden