搜索

[10620] 2016-10-19_如何进行Linux平台共享库替换

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2016-10-19_如何进行Linux平台共享库替换 如 何 进 行 L i n u x 平 台 共 享 库 替 换 g a e a r r o w   F r e e B u f   2 0 1 6 - 1 0 - 1 9 * 本 文 原 创 作 者 ： g a e a r r o w ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载   。     共 享 库 基 础 知 识 共 享 库 基 础 知 识 程 序 由 源 代 码 变 成 可 执 行 文 件 ， 一 般 可 以 分 解 为 四 个 步 骤 ， 分 别 是 预 处 理 （ 程 序 由 源 代 码 变 成 可 执 行 文 件 ， 一 般 可 以 分 解 为 四 个 步 骤 ， 分 别 是 预 处 理 （ P r e p r e s s i n g ） 、 编 译 （ ） 、 编 译 （ C o m p i l a t i o n ） 、 汇 编 （ ） 、 汇 编 （ A s s e m b l y ） 和 链 接 （ ） 和 链 接 （ L i n k i n g ） 。 ） 。 预 处 理 过 程 主 要 处 理 源 代 码 中 以 “ # ” 开 始 的 预 编 译 指 令 ； 编 译 过 程 把 预 处 理 完 成 的 文 件 进 行 词 法 、 语 法 、 语 义 等 分 析 并 产 生 相 应 的 汇 编 代 码 文 件 ； 汇 编 过 程 将 汇 编 代 码 文 件 翻 译 成 机 器 可 以 执 行 的 目 标 文 件 ； 链 接 过 程 将 汇 编 生 成 的 目 标 文 件 集 合 相 连 接 并 生 成 最 终 的 可 执 行 文 件 。 链 接 方 式 分 为 静 态 链 接 和 动 态 链 接 ， 静 态 链 接 分 发 程 序 只 需 要 生 成 的 可 执 行 文 件 ， 动 态 链 接 分 发 程 序 不 仅 需 要 可 执 行 文 件 ， 还 要 包 含 相 应 的 库 文 件 。 该 库 文 件 在 W i n d o w s 平 台 称 为 动 态 链 接 库 （ D y n a m i c - L i n k   L i b r a r y ， D L L ） ， 在 L i n u x 平 台 一 般 称 为 共 享 库 （ S h a r e d   O b j e c t ， S O ） 。 L i n u x 平 台 S O 替 换 可 以 分 为 静 态 替 换 和 动 态 替 换 ： 静 态 替 换 利 用 文 件 操 作 直 接 替 换 S O ， 新 S O 在 下 次 加 载 时 生 效 ； 动 态 替 换 利 用 代 码 注 入 替 换 目 标 进 程 内 存 空 间 ， 实 现 新 S O 的 加 载 和 替 换 ， 新 S O 立 即 生 效 。 静 态 替 换 静 态 替 换 针 对 未 被 加 载 的 S O ， 利 用 复 制 命 令 （ c p   n e w . s o   o l d . s o ） 即 可 直 接 完 成 静 态 替 换 ， 新 S O 在 下 次 加 载 时 生 效 。 对 于 已 经 加 载 的 原 S O ， 直 接 用 新 S O 复 制 替 换 将 会 导 致 相 应 程 序 崩 溃 ， 此 种 情 况 可 以 使 用 删 除 原 S O （ r m   - f   o l d . s o ） 或 修 改 原 S O 名 称 （ m v   o l d . s o   o l d x . s o ） 后 ， 再 复 制 新 S O 的 方 法 代 替 ， 新 S O 同 样 在 下 次 加 载 时 生 效 。 程 序 崩 溃 的 原 因 是 复 制 替 换 操 作 会 破 坏 系 统 访 问 原 S O 的 索 引 节 点 i n o d e ， 导 致 系 统 找 不 到 原 S O 。 系 统 为 每 个 加 载 到 内 存 中 的 文 件 创 建 对 应 的 i n o d e ， 用 来 管 理 该 文 件 ， i n o d e 包 含 了 文 件 的 元 信 息 ， 如 文 件 字 节 数 、 拥 有 者 I D 、 读 写 执 行 权 限 等 。 系 统 以 i n o d e 标 识 程   序 加 载 的 S O ， 不 再 关 心 文 件 名 ， 修 改 S O 名 称 并 未 改 变 对 应 i n o d e ， 因 此 程 序 可 以 继 续 正 常 运 行 ； 删 除 S O 只 是 无 法 查 看 ， 系 统 直 到 程 序 释 放 S O 后 才 真 正 删 除 S O 和 i n o d e ， 因 此 程 序 也 可 以 继 续 正 常 运 行 ； 但 是 在 直 接 复 制 替 换 时 ， 新 S O 将 会 继 承 原 S O 的 i n o d e ， 程 序 无 法 继 续 访 问 原 S O ， 从 而 导 致 程 序 崩 溃 。 动 态 替 换 动 态 替 换 针 对 已 经 被 程 序 加 载 的 S O ， 为 了 实 现 不 停 止 程 序 ， 替 换 后 的 S O 立 即 生 效 的 目 的 ， 可 以 采 用 动 态 替 换 。 动 态 替 换 的 对 象 既 可 以 是 S O 整 体 ， 也 可 以 是 S O 中 的 特 定 函 数 。 两 者 的 区 别 主 要 是 整 体 替 换 需 要 在 特 定 函 数 替 换 的 基 础 上 再 增 加 S O 加 载 及 输 出 函 数 重 定 位 等 过 程 。 由 于 时 间 有 限 ，   本 文 仅 介 绍 特 定 函 数 动 态 替 换 的 基 本 原 理 和 初 步 实 现 ， S O 整 体 替 换 感 兴 趣 的   读 者 可 以 自 行 尝 试 。 S O 特 定 函 数 动 态 替 换 主 要 包 括 三 个 关 键 过 程 ： 控 制 目 标 进 程 ， 构 造 替 换 内 容 和 确 定 替 换 地 址 ， 实 际 上 依 次 解 决 的 就 是 利 用 什 么 替 换 、 替 换 什 么 内 容 和 替 换 到 哪 里 的 问 题 。 控 制 目 标 进 程 控 制 目 标 进 程 为 实 现 对 其 它 进 程 空 间 或 运 行 进 行 控 制 ，   L i n u x 平 台 提 供 了 进 程 跟 踪 函 数 P t r a c e ( ) （ 类 似 于 W i n d o w s 平 台 的 创 建 远 程 线 程 函 数 C r e a t e R e m o t e T h r e a d ( ) ） 。 P t r a c e ( ) 函 数 引 用 头 文 件 和 参 数 形 式 如 下 ：
其 中 ， r e q u e s t 参 数 决 定 了 该 函 数 的 调 用 功 能 。 分 别 实 现 跟 踪 和 结 束 跟 踪 目 标 进 程 功 能 。 P i d 表 示 目 标 进 程 标 识 符 。 成 功 跟 踪 后 ， 被 跟 踪 进 程 将 成 为 当 前 进 程 的 子 进 程 ， 并 进 入 中 止 状 态 。 实 现 向 目 标 进 程 内 存 中 写 入 一 个 字 节 数 据 功 能 。 P i d 表 示 目 标 进 程 标 识 符 ， A d d r 存 储 写 入 的 内 存 地 址 ， D a t a 为 要 写 入 的 数 据 。 除 了 以 上 本 文 中 用 到 的 功 能 ， P t r a c e ( ) 函 数 还 提 供 数 据 读 取 （ P T R A C E _ P E E K D A T A ） 、 终 止 进 程 （ P T R A C E _ K I L L ） 和 重 新 运 行 （ P T R A C E _ C O N T ） 等 功 能 ， 针 对 I n t e l 3 8 6 平 台 还 提 供 读 取 和 设 置 寄 存 器 等 功 能 。 图 图   1 特 定 函 数 替 换 主 要 过 程 活 动 图 特 定 函 数 替 换 主 要 过 程 活 动 图 S O 特 定 函 数 动 态 替 换 主 要 过 程 活 动 图 如 图 1 所 示 ， 其 中 跟 踪 和 结 束 跟 踪 目 标 进 程 过 程 由 P t r a c e ( ) 函 数 直 接 完 成 ， 替 换 目 标 进 程 内 存 过 程 由 P t r a c e ( ) 配 合 构 造 的 替 换 内 容 共 同 完 成 。 构 造 替 换 内 容 构 造 替 换 内 容 构 造 替 换 内 容 主 要 包 括 两 方 面 工 作 ， 一 是 分 析 被 替 换 函 数 的 特 征 ， 确 定 替 换 空 间 结 构 和 堆 栈 恢 复 指 令 ； 二 是 完 成 替 换 函 数 的 编 译 、 S h e l l c o d e 提 取 及 再 构 造 。 被 替 换 函 数 特 征 分 析 被 替 换 函 数 特 征 分 析 测 试 被 替 换 函 数 h e l l o ( ) 存 在 于 S O 的 l i b f s o . s o 中 ， 由 主 程 序 m a i n 载 入 并 以 固 定 周 期 循 环 调 用 ， 其 反 汇 编 代 码 如 图 2 所 示 。 由 图 可 知 ， 方 框 标 识 的 代 码 为 堆 栈 平 衡 和 函 数 返 回 指 令 ， 函 数 实 际 执 行 部 分 为 地 址 h e l l o + 8 至 h e l l o + 6 0 之 间 。 因 此 包 含 堆 栈 恢 复 和 函 数 返 回 指 令 （ 2 字 节 ） 的 最 大 可 替 换 空 间 地 址 为 h e l l o + 8 至 h e l l o + 6 1 ， 共 计 5 4 个 字 节 。 # i n c l u d e < s y s / p t r a c e . h > i n t   p t r a c e ( i n t   r e q u e s t , i n t   p i d , i n t   a d d r , i n t   d a t a ) ; P T R A C E _ A T T A C H /   P T R A C E _ D E T A C H i n t   p t r a c e ( P T R A C E _ A T T A C H , P i d , N U L L , N U L L ) ; i n t   p t r a c e ( P T R A C E _ D E T A C H , P i d , N U L L , N U L L ) ; P T R A C E _ P O K E D A T A i n t   p t r a c e ( P T R A C E _ ? P O K E D A T A , P i d , A d d r , D a t a ) ;
? 图 图   2 测 试 被 替 换 函 数 反 汇 编 代 码 测 试 被 替 换 函 数 反 汇 编 代 码 替 换 函 数 编 译 再 构 造 替 换 函 数 编 译 再 构 造 测 试 替 换 函 数 汇 编 代 码 如 图 3 所 示 ， 功 能 为 输 出 H e l l o   W o r l d ! 字 符 ， 其 中 方 框 标 识 的 空 指 令 是 为 堆 栈 恢 复 和 函 数 返 回 指 令 预 留 的 存 储 空 间 。 经 过 编 译 提 取 后 可 以 得 到 4 6 个 字 节 的 S h e l l c o d e ， 为 了 避 免 程 序 误 将 h e l l o w o r l d 字 符 理 解 成 指 令 执 行 导 致 程 序 崩 溃 ， 还 需 要 将 原 函 数 的 堆 栈 恢 复 和 函 数 返 回 指 令 拷 贝 至 预 留 的 空 指 令 位 置 ， 提 前 返 回 函 数 。 成 功 替 换 后 的 被 替 换 函 数 结 构 如 图 4 所 示 ， 其 中 小 方 格 内 为 堆 栈 平 衡 和 函 数 返 回 指 令 ， 大 方 格 内 为 构 造 的 替 换 内 容 。 图 图   3 测 试 替 换 函 数 汇 编 代 码 测 试 替 换 函 数 汇 编 代 码
图 图   4 成 功 替 换 后 实 际 结 构 成 功 替 换 后 实 际 结 构 确 定 替 换 地 址 确 定 替 换 地 址 由 于 地 址 加 载 随 机 化 A S L R （ A d d r e s s   s p a c e   l a y o u t   r a n d o m i z a t i o n ） 的 影 响 ， S O 加 载 到 内 存 的 基 地 址 并 不 固 定 ， 但 是 函 数 相 对 于 基 地 址 的 偏 移 地 址 是 固 定 不 变 的 。 因 此 对 被 替 换 函 数 所 在 S O 进 行 反 汇 编 分 析 ， 可 以 确 定 被 替 换 函 数 替 换 位 置 首 地 址 ， 再 配 合 l i n u x 提 供 的 进 程 虚 拟 地 址 空 间 查 看 命 令 得 到 S O 加 载 基 地 址 ， 简 单 相 减 即 可 得 到 被 替 换 函 数 位 置 相 对 偏 移 地 址 。 待 准 备 实 施 替 换 时 ， 只 需 再 次 利 用 进 程 虚 拟 地 址 空 间 查 看 命 令 获 得 基 地 址 加 上 相 对 地 址 就 可 以 确 定 实 际 替 换 首 地 址 。 图 5 中 地 址 0 x 2 b 6 9 0 1 e 0 f 0 0 0 为 测 试 程 序 S O 加 载 基 地 址 ， 图 6 中 0 x 2 b 6 9 0 1 e 0 f 5 1 4 为 函 数 替 换 位 置 首 地 址 ， 相 减 得 到 0 × 5 1 4 ， 即 为 被 替 换 函 数 替 换 起 始 位 置 的 相 对 偏 移 地 址 。 图 图   5 共 享 库 加 载 基 地 址 共 享 库 加 载 基 地 址
? 图 图   6 替 换 位 置 首 地 址 替 换 位 置 首 地 址 测 试 实 例 测 试 实 例 测 试 环 境 测 试 环 境 C e n t O S   6 . 6   ( F i n a l ) L i n u x   v e r s i o n   2 . 6 . 3 2 g c c   v e r s i o n   4 . 4 . 7   2 0 1 2 0 3 1 3 n a s m   v e r s i o n   2 . 0 7 前 文 截 图 为 6 4 位 系 统 情 况 ， 以 下 为 3 2 位 系 统 情 况 。 被 动 态 替 换 程 序 被 动 态 替 换 程 序 【 动 态 链 接 库 】 以 上 代 码 中 的 f o r 循 环 ， 仅 仅 是 为 了 确 保 S h e l l c o d e 在 替 换 时 具 有 足 够 的 存 储 空 间 。 【 被 动 态 替 换 程 序 】 详 细 信 息 或 出 现 错 误 请 参 见   加 载 动 态 链 接 库 s o 程 序 简 单 实 例 S h e l l c o d e / / f s o . c / / g c c   - c   - W a l l   - W e r r o r   - f P I C   f s o . c / / g c c   - s h a r e d   - o   l i b f s o . s o   f s o . o # i n c l u d e   < s t d i o . h > v o i d   h e l l o ( ) {         i n t   i   =   0 ;         i n t   j   =   0 ;         p r i n t f ( " H e l l o   M y b o y ! n " ) ;         f o r ( i = 0 ;   i < 1 0 0 0 0 0 0 0 ;   i + + )         {                 j + + ;         } } / / m a i n . c / / g c c   - L   / h o m e / m y c o s / s o   - W a l l   - o   m a i n   m a i n . c   - l f s o / / e x p o r t   L D _ L I B R A R Y _ P A T H = / h o m e / m y c o s / s o   : $ L D _ L I B R A R Y _ P A T H # i n c l u d e   < s t d i o . h > e x t e r n   v o i d   h e l l o ( v o i d ) ; i n t   m a i n ( ) {         i n t   i   =   0 ;         p r i n t f ( " T h i s   i s   M a i n ! n " ) ;         w h i l e ( 1 )         {                 i f ( i % 1 0   = =   0 )   p r i n t f ( " n " ) ;                 s l e e p ( 1 ) ;                 h e l l o ( ) ;                 i + + ;         }               r e t u r n   0 ; }
【 h e l l o . a s m 】 以 上 空 指 令 n o p ， 是 为 堆 栈 恢 复 和 函 数 返 回 指 令 预 留 的 存 储 空 间 ， 预 留 空 指 令 空 间 必 须 比 被 替 换 程 序 动 态 库 堆 栈 恢 复 和 函 数 返 回 指 令 占 用 的 空 间 大 。 【 提 取 S h e l l c o d e 】 执 行 以 上 命 令 得 到 如 下 S h e l l c o d e ， 共 计 4 9 个 字 节 ， 但 是 该 S h e l l c o d e 还 不 能 直 接 使 用 ， 需 要 根 据 目 标 程 序 动 态 链 接 库 实 际 情 况 进 行 修 改 。 【 修 改 S h e l l c o d e 】 利 用 G D B 调 试 被 替 换 程 序 ， 得 到 动 态 库 中 函 数 堆 栈 恢 复 和 函 数 返 回 的 代 码 。 代 码 点 击 阅 读 原 文 可 见 。 分 析 动 态 库 h e l l o 函 数 的 汇 编 代 码 ， 可 以 较 容 易 的 判 断 出 恢 复 堆 栈 和 函 数 返 回 的 地 址 从 0 × 0 0 1 1 1 4 7 8 到 0 x 0 0 1 1 1 4 7 d 共 6 个 字 节 ， 且 该 函 数 实 际 可 被 s h e l l c o d e 覆 盖 填 充 的 部 分 从 0 × 0 0 1 1 1 4 3 7 （ 函 数 开 始 的 堆 栈 平 衡 处 理 部 分 不 能 覆 盖 ， 易 导 致 异 常 ） 到 0 x 0 0 1 1 1 4 7 d 共 7 0 个 字 节 大 于 s h e l l c o d e 的 4 9 个 字 节 ， 满 足 替 换 空 间 要 求 。 ;   3 2 - b i t   " H e l l o   W o r l d ! "   i n   C e n t O S   6   i 6 8 6 ;   n a s m   - f e l f 3 2   h e l l o . a s m   - o   h e l l o . o ;   l d   - s   - o   h e l l o   h e l l o . o g l o b a l   _ s t a r t _ s t a r t :         j m p   s t r i n g c o d e :         p o p           e c x         m o v           e a x ,   0 x 4         m o v           e b x ,   0 x 1         m o v           e d x ,   0 x D         i n t           0 x 8 0         n o p         n o p         n o p         n o p         n o p         n o p         n o p         n o p s t r i n g :         c a l l         c o d e         d b   ' H e l l o   w o r l d ! ' , 0 x 0 a f o r   i   i n   $ ( o b j d u m p   - d   h e l l o   | g r e p   " ^   "   | c u t   - f 2 ) ;   d o   e c h o   - n   ' x ' $ i ;   d o n e ;   e c h o x e 9 x 1 a x 0 0 x 0 0 x 0 0 x 5 9 x b 8 x 0 4 x 0 0 x 0 0 x 0 0 x b b x 0 1 x 0 0 x 0 0 x 0 0 x b a x 0 d x 0 0 x 0 0 x 0 0 x c d x 8 0 x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x e 8 x d f x f f x f f x f f x 4 8 x 6 5 x 6 c x 6 c x 6 f x 2 0 x 7 7 x 6 f x 7 2 x 6 c x 6 4 x 2 1 x 0 a
因 此 最 后 得 到 的 S h e l l c o d e 如 下 ： 查 看 被 替 换 程 序 的 内 存 分 配 情 况 ， 得 到 动 态 链 接 库 加 载 基 址 （ 0 × 0 0 1 1 1 0 0 0 ） ， 结 合 上 面 G D B 调 试 得 到 的 函 数 替 换 起 始 地 址 （ 0 × 0 0 1 1 1 4 3 7 ） ， 可 以 确 定 替 换 地 址 的 固 定 偏 移 量 为 0 × 4 3 7 ， 因 此 只 要 替 换 程 序 确 定 动 态 链 接 库 基 址 ， 即 可 利 用 固 定 偏 移 量 得 到 替 换 起 始 地 址 。 动 态 替 换 程 序 动 态 替 换 程 序 【 代 码 点 击 原 文 可 见 】 在 x 8 6 _ 6 4 平 台 下 ， 以 上 代 码 需 要 进 行 适 当 修 改 ： 一 是 头 文 件 由   s y s / u s e r . h   改 成   l i n u x / u s e r . h ； 二 是 g e t d a t a / p u t d a t a 函 数 中 涉 及 地 址 的 位 置 由   4   改 成   8 ； 三 是 u s e r _ r e g s _ s t r u c t 结 构 体 的 指 令 寄 存 器 由   e i p   改 成   r i p ； 四 是 s h e l l c o d e 修 改 适 用 于 x 8 6 _ 6 4 平 台 。 执 行 结 果 执 行 结 果 执 行 动 态 替 换 程 序 ， 被 替 换 程 序 输 出 由 H e l l o   M y b o y !   变 成   H e l l o   w o r l d !   且 继 续 正 常 运 行 ， 说 明 替 换 已 成 功 。 参 考 参 考 x e 9 x 1 a x 0 0 x 0 0 x 0 0 x 5 9 x b 8 x 0 4 x 0 0 x 0 0 x 0 0 x b b x 0 1 x 0 0 x 0 0 x 0 0 x b a x 0 d x 0 0 x 0 0 x 0 0 x c d x 8 0 x 8 3 x c 4 x 2 4 x 5 b x 5 d x c 3 x 9 0 x 9 0 x e 8 x d f x f f x f f x f f x 4 8 x 6 5 x 6 c x 6 c x 6 f x 2 0 x 7 7 x 6 f x 7 2 x 6 c x 6 4 x 2 1 x 0 a [ m y c o s @ l o c a l h o s t   s o ] $   p s   a u x   |   g r e p   m a i n m y c o s         1 3 8 3 4   1 2 . 2     0 . 0       1 8 7 2       3 8 4   p t s / 0         T         2 1 : 1 6       0 : 0 3   . / m a i n m y c o s         1 3 2 9 3     0 . 0     0 . 0       4 3 5 2       7 2 0   p t s / 1         S +       2 1 : 1 6       0 : 0 0   g r e p   m a i n [ m y c o s @ l o c a l h o s t   s o ] $   . / i n j e c t s o   1 3 8 3 4 [ m y c o s @ l o c a l h o s t   s o ] $   . / m a i n T h i s   i s   M a i n ! H e l l o   M y b o y ! H e l l o   M y b o y ! H e l l o   M y b o y ! H e l l o   M y b o y ! H e l l o   M y b o y ! H e l l o   M y b o y ! H e l l o   M y b o y ! H e l l o   M y b o y ! H e l l o   M y b o y ! H e l l o   M y b o y ! H e l l o   M y b o y ! H e l l o   M y b o y ! H e l l o   w o r l d ! H e l l o   w o r l d ! H e l l o   w o r l d ! H e l l o   w o r l d !
h t t p : / / w w w . l i n u x i d c . c o m / L i n u x / 2 0 1 1 - 0 1 / 3 1 6 2 2 . h t m h t t p : / / w w w . c n b l o g s . c o m / i t e c h / a r c h i v e / 2 0 1 2 / 0 5 / 1 5 / 2 5 0 2 2 8 4 . h t m l h t t p : / / b l o g . c s d n . n e t / m y a r r o w / a r t i c l e / d e t a i l s / 9 6 3 0 3 7 7 h t t p : / / b l o g . c s d n . n e t / t j u 3 5 5 / a r t i c l e / d e t a i l s / 6 8 8 4 6 9 6 h t t p : / / t h e a n t w a y . c o m / 2 0 1 3 / 0 1 / n o t e s - f o r - p l a y i n g - w i t h - p t r a c e - o n - 6 4 - b i t s - u b u n t u - 1 2 - 1 0 / h t t p : / / w w w . c n b l o g s . c o m / w a n g k a n g l u o 1 / a r c h i v e / 2 0 1 2 / 0 6 / 0 5 / 2 5 3 5 4 8 4 . h t m l h t t p : / / b l o g . s i n a . c o m . c n / s / b l o g _ 4 a c 7 4 e 9 a 0 1 0 0 n 7 w 1 . h t m l h t t p : / / b l o g . s i n a . c o m . c n / s / b l o g _ 6 0 1 f 2 2 4 a 0 1 0 1 3 a l j . h t m l * 本 文 原 创 作 者 ： g a e a r r o w ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载   阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理