pwndbg调试搞清楚PLT和GOT

布满荆棘的人生 2022-09-11 07:23 467阅读 0赞

GOT是保存库函数地址的区域，程序运行时，用到的库函数地址会设置到该区域中。  
PLT是调用库函数时的小型代码集合，程序可以像调用自己的用户函数一样调用这些小型代码。  
因此，PLT中包含的小型代码基本上与用到的库函数数量相同。简单来说，这些代码知识跳转到GOT中设置的值而已。  
如果GOT中尚未设置调用函数的地址，就将地址设置到GOT中之后再跳转。但是，库函数地址在程序运行过程中不会改变，因此GOT的值一旦设置就不会再发生变化。因此，调用库函数时没有必要检查GOT是否被设置。glibc用巧妙的方法在调用时避免了这种无用的检查。

# 系统资源设置成无限制 #

$ ulimit -c unlimited

# C源码 #

#include <stdio.h>
    #include <stdlib.h>
    
    int func1(void)
    {
        
            return 1;
    }
    
    int main(void)
    {
        
            int a, b;
            a = func1();
            b = rand();
            return a + b;
    }

开启调试，生成32位二进制程序

$ gcc -g  -m32 test1.c -o test1

# 查看所有ELF程序节 #

$ readelf -S test1
    。。。
      [12] .plt              PROGBITS        00001020 001020 000030 04  AX  0   0 16
      [13] .plt.got          PROGBITS        00001050 001050 000008 08  AX  0   0  8
      [14] .text             PROGBITS        00001060 001060 0001f5 00  AX  0   0 16
    
      [22] .got              PROGBITS        00003fec 002fec 000014 04  WA  0   0  4
      [23] .got.plt          PROGBITS        00004000 003000 000014 04  WA  0   0  4
      [24] .data             PROGBITS        00004014 003014 000008 00  WA  0   0  4
      [25] .bss              NOBITS          0000401c 00301c 000004 00  WA  0   0  1
    。。。。。。
    
    
    $ objdump -h test1                                                                                                                                                                                                                    1 ⨯
    
    test1:     file format elf32-i386
    
    Sections:
    Idx Name          Size      VMA       LMA       File off  Algn
    。。。。。。
     11 .plt          00000030  00001020  00001020  00001020  2**4
                      CONTENTS, ALLOC, LOAD, READONLY, CODE
     12 .plt.got      00000008  00001050  00001050  00001050  2**3
                      CONTENTS, ALLOC, LOAD, READONLY, CODE
    。。。。。。
     21 .got          00000014  00003fec  00003fec  00002fec  2**2
                      CONTENTS, ALLOC, LOAD, DATA
     22 .got.plt      00000014  00004000  00004000  00003000  2**2

.got.plt 中的值是 GOT 的一部分。

# GDB调试 #

开启调试start，反编译main函数：  
![1][]

找到`<rand@plt>`的位置`0x56556040`:  
![1][1 1]  
si步入：  
![1][1 2]  
`<rand@plt>`第一条指令是跳转到`0x56559010`，查看0x56559010内存：  
![1][1 3]  
`0x56559010`在**GOT表**里，其对应的内存地址正好是jmp要跳转**下一条指令地址**：  
![1][1 4]  
把8压栈，然后跳转到`0x56556020`:  
![1][1 5]  
继续si步入：  
![1][1 6]  
找到了系统函数`_dl_runtime_resolve`。

查看进程内存映射，在libc-2.31.so里，根据入栈的两个参数，获得rand的函数地址：  
![1][1 7]

libc-2.31.so被映射到0xf7dca000地址上，该地址是在程序运行时被确定的，每次运行都不一样，因此rand()地址在编译时是不知道的，运行时要调查共享库中的函数地址再调用。GNU/Linux系统中，该机制用到了PLT(Procedure Linkage Table)和GOT(Global Offset Table)这两个程序中的区域。  
现在查看GOT表，`0xf7e02c50`是rand函数地址，而不是`0x56559010`跳转地址：  
![1][1 8]  
参考：  
![1][1 9]  
![1][1 10]  
![1][1 11]

[http://rickgray.me/2015/08/07/use-gdb-to-study-got-and-plt/][http_rickgray.me_2015_08_07_use-gdb-to-study-got-and-plt]  
[https://www.jianshu.com/p/5092d6d5caa3][https_www.jianshu.com_p_5092d6d5caa3]

[1]: /images/20220828/5beb1e84a51840b3bab9d1c585f60dcc.png
[1 1]: /images/20220828/60a8dbafb3924aa0b68c0f6f82bfb2f5.png
[1 2]: /images/20220828/605e6de296f94d56b7854bd1d35467b0.png
[1 3]: /images/20220828/ec344045e0d74c86a6c2cf0e290ff8fd.png
[1 4]: /images/20220828/2d01773155804d1db4288a9d6e7d65be.png
[1 5]: /images/20220828/b27664acb9564b0d90e7afa81518110a.png
[1 6]: /images/20220828/9e8892696f0a425685b3653dff96cd58.png
[1 7]: /images/20220828/1bea3ade4a614db08570802051308d0a.png
[1 8]: /images/20220828/df630b9160064777b122be9247ed938d.png
[1 9]: /images/20220828/60f1a2da177e4830859958bed4955232.png
[1 10]: /images/20220828/1e8194146d2a42dca8cc10d0c0230e33.png
[1 11]: /images/20220828/9499f5c4118440c196920ac46995545a.png
[http_rickgray.me_2015_08_07_use-gdb-to-study-got-and-plt]: http://rickgray.me/2015/08/07/use-gdb-to-study-got-and-plt/
[https_www.jianshu.com_p_5092d6d5caa3]: https://www.jianshu.com/p/5092d6d5caa3