精通solaris的，来讨论讨论solaris sparc的共享库重定向技术[1]

Shared Library Injection and Redirection 

---| 简介 

Phrack 56-9 Backdooring binary objects 一文中介绍了利用BFD向Shared Library中插入代码,并修改Shared Library中的一个函数地址指向插入的代码. 但是,插入的代码必须以汇编书写,并且要手工计算一些地址. 本文描述如何在SPARC Solaris 8下实现这种技术. 而且进一步做了重定向工作,使插入代码可以用 c 书写. 考虑到BFD接口复杂,文档混乱, 我们不使用BFD做ELF文件操作. 

---| 准备工作 

本文中程序的编译和调试都在如下环境进行: 
bash-2.03$ uname -a 
SunOS LabSolaris 5.8 Generic_108528-09 sun4u sparc SUNW,Ultra-5_10 
bash-2.03$ gcc -v 
Reading specs from /opt/gnu32/lib/gcc-lib/sparc-sun-solaris2.8/3.0/specs 
Configured with: ./configure --prefix=/opt/gnu32 : (reconfigured) ./configure --prefix=/opt/gnu32 --enable-languages=c,c++ 
Thread model: posix 
gcc version 3.0 
bash-2.03$ objdump -V 
GNU objdump 2.11.2 
Copyright 1997, 98, 99, 2000, 2001 Free Software Foundation, Inc. 
This program is free software; you may redistribute it under the terms of the GNU General Public License. This program has absolutely no warranty. 

需要准备如下程序: 
/* haha.c */ 
#include <stdio.h> 
void haha(void) 
{ 
printf("haha\n"; 
} 

/* huhu.c */ 
void huhu(void) 
{ 
printf("huhu\n"; 
} 
编译成动态库： 
bash-2.03$ gcc -fPIC -G -nostdlib -o libtst.so haha.c huhu.c 

再准备如下 c 程序： 
/* hehe.c */ 
void hehe(void) 
{ 
haha(); 
} 
编译成 object 文件： 
bash-2.03$ gcc -fpic -c hehe.c 

准备如下测试程序： 
/* t.c */ 
int main(int argc,char **argv) 
{ 
huhu(); 
return 0; 
} 

---| SPARC下的ELF 

一个ELF动态库(SPARC)通常包括以下区(Section)： 
.hash : hash table 
.interp: ELF interpreter 
.dynsym : dynamic symbol table 
.dynstr : dynamic string table 
.rela.* : relocation section 
.text : code section 
.rodata : readonly data section 
上面几个区共同组成了代码段(text segment)，在内存中映象可读，可执行， 
但不可写。而且，代码段被进程共享。 
.got : 全局偏移表(Global Offset Table)，是PIC(Position Independent 
Code) 的重要组成部分，.text区中对绝对地址的引用被转换成对.got中偏移 
的引用，dynamic linker修改.got使其指向绝对地址。 
.plt : 程序联接表(Procedure Linkage Table)，是PIC的重要组成部分。 
.plt和.got类似，不过是把函数调用转换成对.plt的调用。在SPARC下，每个 
.plt表项为12字节长，也就是说，可以容纳 3 条指令。.plt的前 4 个表项为 
系统保留。dynamic linker会修改plt表项使其指向实际的函数地址。 
.dynamic : 保存动态连接信息 

---| 第一步：插入代码到动态库中 

这一步要实现插入代码到动态库中，同时保证不影响该动态库的使用。第一 
个问题是：应该插入动态库的哪个位置？Phrack 56-9 <<Backdooring binary 
objects>>建议插入.got中，这样容易实现，但也使插入的代码可能被用户修改。 
合理的插入位置应该是.text中。我们采用插入.got中的做法。具体步骤如下： 

1. 从ELF头中找到区头表的偏移和区名区的索引。 
2. 在动态库的区头表中(Section Header Table)中找到.got和紧跟.got的 
区（假设是.dynamic)的区头项。 
3. 修改.got区的大小，加上插入代码的长度(要求是 4 的倍数). 
4. 修改.got后面区的偏移，加上插入代码的长度。 
5. 修改程序头表中相应段的偏移和大小。 
6. 修改ELF头中区头表的偏移，加上插入代码的长度。 
7. 将代码从.dynamic的偏移处插入。 

这样，尽管一些符号的偏移还没有修改，但被修改的动态库依然可以正常 
使用。 

测试(假设修改后的动态库文件名为libnew.so)： 
bash-2.03$ gcc -o t t.c -L . -lnew 
bash-2.03$ export LD_LIBRARY_PATH=. 
bash-2.03$ ./t 
huhu 
bash-2.03$ 

---| 第二步：动态库符号重定向 

这一步实现修改原动态库中的的一个函数指向新插入的代码。动态库"export"出的函数都在动态符号表(.dynsym)中描述，包括函数地址，代码长度等信息。修改原函数的地址，大小为新插入代码的地址，大小等属性即可。对有近2000个符号的标准 C 库，通过符号名找到符号比较耗时，这可以通过符号名hash表(.hash区)加快查询。 

通常，只修改动态符号表中的符号就可以完成重定位，保证连接该动态库的 
程序正常运行，虽然这时候符号表中的相应符号地址没有修改。但是，一些程序 
可能依靠符号表中的符号工作，例如gdb，它的disass sym指令就从符号表中符号指向地址处开始反汇编。因此，修改动态符号表中符号后，也应该修改符号表中的相应符号。 

---| 第三步：重定位