最近经常用到PLT hook,接下来几篇文章,给大家介绍一下PLT hook的原理、使用、案例、以及一些注意事项。
今天是第一篇,先来介绍一下PLT Hook的基本原理。
ELF文件格式
ELF:Executable and Linkable Format
动态链接库就是ELF格式的文件,要搞清楚PLT Hook的原理,首先要了解ELF文件格式。
ELF分为连接视图和执行视图。
- 连接视图:ELF未被加载到内存执行前,以section为单位的数据组织形式
- 执行视图:ELF被加载到内存后,以segment为单位的数据组织形式
PLT Hook是运行中修改内存中的数据,所以我们主要关心的是执行视图。
linker依据ELF文件执行视图中的信息,用mmap将ELF加载到内存中,执行relocation将外部引用的绝对地址填入GOT表和DATA中。
PLT Hook的执行时机,是在linker将ELF加载到内存之后。Hook的原理,是解析内存中的ELF数据,修改relocation结果。
装载、动态链接、重定位
1. 装载
使用System.loadLibrary的方式,加载目标共享库,内部其实也是调用linker中的dlopen、dlsym、dlclose函数对目标共享库进行装载。
2. 动态链接
动态链接的基本思想是把程序按照模块拆分成各个相对独立部分,在程序运行时才将它们链接在一起。当共享库被装载的时候,动态链接器linkder会将共享库装载到进程的地址空间,并且将程序中的符号绑定到动态链接库中,进行重定位工作。
3. 重定位
共享库需要重定位的主要原因是导入符号的存在。动态链接下,一旦依赖于其他共享对象,就会有导入符号。这些导入符号在编译的时候是未知的,只有在运行的时候才确定,所以需要就这些导入符号的引入进行修正,即进行重定位。
PLT Hook的原理,就是改变导入符号重定位的结果。
linker
linkder在加载ELF时的最主要工作是relocation,这个过程的目的是为当前ELF的每个“导入符号”找到对应的外部符号(函数或数据)的绝对地址。
这些地址会写在以下几个地方:
- .got.plt: GOT表,保存外部函数的绝对地址
- .data, .data.rel.ro:保存外部数据(包含函数指针)的绝对地址
要完成 relocation 过程,需要依赖于 ELF 中的以下信息:
- .rel.plt,.rela.plt:用于关联 .dynsym 和 .got.plt。这就是我们经常会听到的 “PLT 表”。
- .rel.dyn,.rela.dyn,.rel.dyn.aps2,.rela.dyn.aps2:用于关联 .dynsym 和 .data,.data.rel.ro。
relocation完成后的函数调用关系如下:
PLT和GOT表
- PLT表:程序链接表(Procdure Link Table),外部调用的跳板,.plt
- GOT表:全局偏移表 (Global Offset Table),记录外部调用的入口地址,.got
由上面的分析可知,当我们调用某个函数的时候,并不是直接调用函数的地址,而是经过PLT表,跳转到GOT表,获取目标函数的全局偏移。这个时候就可以通过基址+偏移的方式。定位到真正的函数地址。
PLT Hook基本原理
PLT Hook就是改变了原来的relocation后的地址。主要流程:
- 通过符号名,在hash table中找到对应的符号信息
- 再找到对应的PLT信息
- 最后找到GOT表中的绝对地址的值
- 修改这个绝对地址的值,为我们的“代理函数”的地址