Загрузка библиотек на этапе исполнения. |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
PIC-код |
|
|
|
|
|
||
Для архитектуры x86 характерно |
Определение |
|
Модификация кода и данных |
|
|
|
|
|
|
|
|
использование абсолютных адресов |
действительных адресов |
|
вследствие изменения адресов |
|
Описание перемещаемых |
|
Предзадание адресов |
||||
при обращении к данным, в случае |
только после определения |
|
статических переменных и процедур |
|
записей в исполняемом |
|
в момент сборки или при |
||||
косвенной адресации, а также при |
адреса загрузки библиотеки |
|
|
|
|
файле |
|
создании кэша библиотек |
|||
|
|
|
|||||||||
|
|
|
|
|
|
|
|
|
|
||
межсегментной передаче управления. |
|
|
Определение адресов импортируемых |
|
Прямое обращение к импортируемым символам |
|
|||||
В IA-32 относительный адрес используют только инструкции |
|
символов только после загрузки |
|
|
|||||||
|
|
|
|
|
|
|
|
||||
внутрисегментной передачи управления (ближние и короткие |
|
нужной разделяемой библиотеки |
|
|
|
|
|
|
|
||
|
|
Косвенное обращение через секции импорта |
|
|
|||||||
переходы, ближние вызовы) и только при прямой адресации |
|
|
|
|
|
||||||
|
|
|
|||||||||
|
|
|
|
|
|
|
|
|
|
||
(косвенные формы переходов и вызовов используют абсолютные адреса). В 64х разрядном режиме в частных случаях (ModR/M: 00...101) может использоваться адресация константным 32х разрядным смещением к RIP.
Код с перемещаемыми записями
#include <stdio.h> static int s_x;
void show_x( void )
{
printf("%d",add_x(0));
}
int add_x( int v )
{
return s_x += v;
}
В случае Visual Studio для указания экспортируемых символов использовался .def файл:
LIBRARY test EXPORTS
add_x show_x
Вместо использования .def файла можно было описать функции show_x и add_x с атрибутом
dllexport, например: void
__declspec(dllexport) show_x( void )
{
...
cl /O2 /Ox /LD /MD test.c /link /DEF:test.def
|
|
|
|
.686P |
|
|
.model |
flat |
PUBLIC |
_add_x |
|
PUBLIC |
??_C@_02EF@?$CFd?$AA@ |
|
PUBLIC |
_show_x |
|
EXTRN |
_printf:PROC |
|
_BSS |
SEGMENT |
|
_s_x |
DD |
01H DUP (?) |
_BSS |
ENDS |
|
CONST |
SEGMENT |
|
??_C@_02AMEF@?$CFd?$AA@ DB '%d',0 |
||
CONST |
ENDS |
|
_TEXT |
SEGMENT |
|
_v$ = 8 |
|
; size = 4 |
_add_x PROC |
|
|
|
mov |
eax, DWORD PTR _s_x |
|
add |
eax, DWORD PTR _v$[esp-4] |
|
mov |
DWORD PTR _s_x, eax |
|
ret |
0 |
_add_x ENDP |
|
|
_show_xPROC |
|
|
|
mov |
eax, DWORD PTR _s_x |
|
push |
eax |
|
push |
OFFSET ??_C@_02DEF@?$CFd?$AA@ |
|
call |
_printf |
|
add |
esp, 8 |
|
ret |
0 |
_show_xENDP |
|
|
_TEXT |
ENDS |
|
END |
|
|
gcc -O3 -fomit-frame-pointer -shared -o libtest.so test.c
|
|
|
.section |
.rodata.str1.1,"aMS" |
|
.LC0: .string"%d" |
|
|
.text |
|
|
.globl add_x |
|
|
.type |
add_x, @function |
|
add_x: |
|
|
movl |
4(%esp), %eax |
|
addl |
s_x, %eax |
|
movl |
%eax, s_x |
|
ret |
|
|
.globl show_x |
|
|
.type |
show_x, @function |
|
show_x: |
|
|
subl |
$12, %esp |
|
movl |
s_x, %eax |
|
movl |
$.LC0, (%esp) |
|
movl |
%eax, 4(%esp) |
|
call |
printf |
|
addl |
$12, %esp |
|
ret |
|
|
.local |
s_x |
|
.comm |
s_x,4,4 |
|
для получения ассемблерного кода использовались команды: cl /Fafile.asm /O2 /Ox /LD /MD test.c /link /DEF:test.def
и
gcc -O3 -fomit-frame-pointer -shared -S -o libtest.s test.c
Экспорт, импорт, перемещаемые записи в Posix |
каждая запись |
.dynsym |
|
|
|
|
|
|
|
+0000025c (.dynstr) |
Вызов функции, импортируемой из |
||||||||||
Дизассембер секции .plt |
|
|
|
определения символа |
01bc... |
2b |
00 |
00 |
00 |
00 |
00 |
00 |
00 |
«разделяемого объекта» (shared |
|||||||
__loader__@plt: |
|
|
|
|
занимает 16 байт, |
01c4 |
00 |
00 |
00 |
00 |
20 |
00 |
00 |
00 |
0000002b |
object), осуществляется обращением |
|||||
|
pushl |
0x4(%ebx) |
|
|
|
приведена запись с ... |
|
|
|
|
|
|
|
|
00000287 + LoadAddr |
к созданной сборщиком заглушке в |
|||||
|
|
|
|
|
индексом 2 |
.dynstr |
|
|
|
|
|
|
|
|
PLT (Procedure Linkage Table): |
||||||
|
jmp |
*0x8(%ebx) |
|
# загрузчик LD.SO |
_ |
_ |
g |
m |
o |
n |
_ |
|
|||||||||
|
|
Формат записей |
025c |
00 |
|
|
|
|
|||||||||||||
|
.long |
0 |
|
|
|
|
|
|
call |
add_x@plt |
|
||||||||||
|
|
|
|
|
|
0264 |
s |
t |
a |
r |
t |
_ |
_ 00 |
тип перемещаемой |
|
||||||
|
|
|
|
|
|
|
.dynsym и .symtab; ... |
|
|
|
|
|
|
|
|
где |
|
|
|||
__gmon_start__@plt: |
|
|
|
|
|
(имя-значение- |
0284 |
z |
e 00 |
_ |
J |
v |
_ |
R |
записи |
|
|
||||
|
jmp |
*0xc(%ebx) |
|
|
|
|
размер-флаги- |
028c |
e |
g |
i |
s |
t |
e |
r |
C |
02: R_386_PC32 |
add_x@plt: |
Заменяется на |
||
|
pushl |
$0x0 |
|
|
|
|
|
секция) |
0294 |
l |
a |
s |
s |
e |
s 00 |
a |
(отн. адрес символа #) |
jmp |
|
реальный адрес |
|
|
|
|
|
|
|
|
... |
|
|
|
|
|
|
|
|
06: R_386_GLOB_DAT |
*GOT.PLT[add_x] |
||||
|
jmp |
__loader__@plt |
|
|
|
|
.rel.dyn |
|
|
|
|
|
|
|
push |
off_in_rel.plt |
|||||
|
|
|
|
адрес |
|
|
|
|
|
|
|
(адрес символа #) |
|||||||||
__cxa_finalize@plt: |
|
|
|
|
перемещаемой |
... |
|
|
|
|
|
|
|
|
07: R_386_JUMP_SLOT |
jmp |
__loader__@plt |
||||
|
|
|
|
0350 |
08 |
20 |
00 |
00 |
08 |
00 |
00 |
00 |
|||||||||
|
|
|
|
(адрес записи в .plt для #) |
.. |
|
|
||||||||||||||
|
jmp |
*0x10(%ebx) |
|
|
|
|
записи |
0358 |
d4 |
04 |
00 |
00 |
02 |
03 |
00 |
00 |
08: R_386_RELATIVE |
|
|
||
|
pushl |
$0x8 |
|
|
|
|
|
|
0360 |
e8 |
1f |
00 |
00 |
06 |
01 |
00 |
00 |
(прибавить адрес загрузки) __loader__@plt: |
|
||
|
|
|
|
|
|
|
0368 |
ec 1f 00 |
00 |
06 |
02 |
00 |
00 |
|
pushl GOT.PLT+4 (LoadAddr) |
||||||
|
jmp |
__loader__@plt |
|
|
|
|
|
||||||||||||||
|
|
|
|
|
0370 |
f0 |
1f |
00 |
00 |
06 |
04 |
00 |
00 |
индекс символа |
|||||||
|
|
|
|
|
jmp |
*GOT.PLT+8 |
|
||||||||||||||
|
|
|
|
|
|
|
|
|
.rel.plt |
|
|
|
|
|
|
|
|
||||
Дизассемблер начала секции .init |
|
|
|
|
|
|
|
|
|
|
|
в .dynsym |
сборщик создает по одной записи в |
||||||||
|
|
|
|
0378 |
00 |
20 |
00 |
00 |
07 |
01 |
00 |
00 |
|||||||||
|
push |
%ebp |
|
|
|
|
|
|
0380 |
04 |
20 |
00 |
00 |
07 |
04 |
00 |
00 |
|
PLT на каждую импортируемую |
||
|
mov |
%esp,%ebp |
|
|
|
|
|
.init |
|
|
|
|
|
|
|
|
|
||||
|
|
|
|
|
|
55 |
89 |
e5 |
53 |
83 |
ec 04 e8 |
|
функцию и инициализирует |
||||||||
|
push |
%ebx |
|
|
|
|
|
|
0388 |
|
указатель в GOT (Global Offset Table) |
||||||||||
|
sub |
$0x4,%esp |
|
|
|
|
|
... |
|
|
|
|
|
|
|
|
|
||||
|
|
|
|
|
|
.plt |
|
|
|
|
|
|
|
|
|
адресом этой заглушки + 6 — с этого |
|||||
|
call |
1f |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
||||
|
|
|
|
__gmon_start__@plt |
03b8 |
ff b3 04 |
00 |
00 |
00 |
ff a3 |
Procedure Linkage Table |
места размещен вызов загрузчика |
|||||||||
1: |
pop |
%ebx |
|
|
|
03c0 |
08 |
00 |
00 |
00 |
00 |
00 |
00 |
00 |
|||||||
|
|
|
|
|
|
16 байт на каждую |
данного символа. |
|
|||||||||||||
|
add |
$0x1c60,%ebx |
# ebx = 1FF4 |
|
03c8 |
ff a3 0c |
00 |
00 |
00 |
68 |
00 |
|
|||||||||
|
|
03d0 |
00 |
00 |
00 |
e9 |
e0 |
ff ff ff |
импортируемую функцию |
GOT.PLT[add_x]: |
|
||||||||||
|
... |
|
|
|
|
|
|
|
|
||||||||||||
|
|
|
|
|
__gmon_start__@plt + 6 |
03d8 |
ff a3 10 |
00 |
00 |
00 |
68 |
08 |
|
||||||||
Частичный дизассемблер секции .text |
03e0 |
00 |
00 |
00 |
e9 |
d0 |
ff ff ff |
|
.long |
add_x@plt+6 |
|
||||||||||
|
|
|
.text |
|
|
|
|
|
|
|
|
|
который заменяется загрузчиком на |
||||||||
add_x: |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
Величина -4 (0xFFFFFFFC) |
||||
mov |
0x4(%esp),%eax |
|
|
|
|
03f0 |
55 |
89 |
e5 |
56 |
53 |
e8 |
ad 00 |
.long |
real_address |
||||||
|
|
|
|
|
... |
d2 |
83 |
c4 |
04 |
5b |
5d |
c3 |
8b |
указывает смещение адреса |
|||||||
|
add |
0x2014,%eax |
|
|
|
|
|
04a0 |
перемещаемой записи |
Во время загрузки исполняемого |
|||||||||||
|
|
|
|
|
|
04a8 |
1c |
24 |
c3 |
90 |
90 |
90 |
90 |
90 |
относительно EIP, |
||||||
# 4b6: |
R_386_RELATIVE |
|
*ABS* |
|
|
|
04b0 |
8b |
44 |
24 |
04 |
03 |
05 |
14 |
20 |
используемого инструкцией |
файла загрузчик сразу |
|
|||
|
mov |
%eax,0x2014 |
|
|
|
|
|
04b8 |
00 |
00 |
a3 |
14 |
20 |
00 |
00 |
c3 |
|
модифицирует первые записи в |
|||
|
|
|
|
|
|
04c0 |
83 |
ec 0c |
a1 |
14 |
20 |
00 |
00 |
|
|||||||
# 4bb: |
R_386_RELATIVE |
|
*ABS* |
|
|
|
Адрес |
.got.plt так, что бы стало |
|||||||||||||
|
|
|
|
04c8 |
c7 |
04 |
24 |
34 |
05 |
00 |
00 |
89 |
|||||||||
|
ret |
|
|
|
|
|
|
|
04d0 |
44 |
24 |
04 |
e8 |
fc ff ff ff |
загрузки |
возможно обращение к |
|
||||
show_x: |
|
|
|
|
|
|
|
|
04d8 |
83 |
c4 |
0c |
c3 |
90 |
90 |
90 |
90 |
этого . |
__loader__@plt из загруженного |
||
sub |
$0xc,%esp |
|
|
|
|
|
... |
|
|
|
|
|
|
|
|
|
|||||
|
|
|
|
|
|
.fini |
|
|
|
|
|
|
|
|
|
модуля. |
|
|
|||
|
mov |
0x2014,%eax |
|
|
|
|
|
0518 |
55 |
89 |
e5 |
53 |
83 |
ec 04 e8 |
Global Offset Table |
Импорт данных специфичен: в |
|||||
# 4c4: |
R_386_RELATIVE |
|
*ABS* |
|
|
|
... |
|
|
|
|
|
|
|
|
4 байта на каждый символ |
разделяемом объекте обращения к |
||||
|
|
Смещение |
.got |
|
|
|
|
|
|
|
|
||||||||||
|
movl |
$0x534,(%esp) |
|
|
|
|
|
|
|
|
|
|
(типично, если .rel |
экспортируемым данным |
|
||||||
|
|
|
1fe8 |
00 |
00 |
00 |
00 |
00 |
00 |
00 |
00 |
|
|||||||||
# 4cb: |
R_386_RELATIVE |
|
*ABS* |
|
секции .dynamic |
1ff0 |
00 |
00 |
00 |
00 |
|
|
|
|
ссылается на записи в .got) описываются со специфичным типом |
||||||
|
mov |
%eax,0x4(%esp) |
|
|
|
|
.got.plt |
1f |
00 |
00 |
00 |
00 |
00 |
00 |
LoadAddr |
перемещаемой записи R_386_COPY, |
|||||
|
call |
.+1 |
|
|
|
|
|
EBX → 1ff4 |
10 |
+000003CE |
а в приложении, ссылающемся на на |
||||||||||
# 4d4: |
printf |
|
|
Адрес |
1ffc |
00 |
00 |
00 |
00 |
ce 03 00 00 |
|||||||||||
R_386_PC32 |
|
|
2004 |
de 03 00 |
00 |
|
|
|
|
__gmon_start__@plt+6 |
эти данные, создается их копия; |
||||||||||
|
add |
$0xc,%esp |
|
|
|
процедуры |
.data |
08 |
20 |
00 |
00 |
|
|
|
|
Адрес замещается загрузчиком |
после чего корректируются все |
||||
|
ret |
|
|
|
|
|
загрузки в |
2008 |
|
|
|
|
|
перемещаемые записи библиотеки |
|||||||
|
|
|
|
|
|
.bss |
|
|
|
|
|
|
|
|
__cxa_finalize@plt+6, |
||||||
В приведенном примере обращение к функции |
|
LD.SO |
00 |
00 |
00 |
00 |
00 |
00 |
00 |
00 |
так, что бы |
использовался |
|
||||||||
printf из стандартной libc выполнено прямым вызовом. |
|
200c |
замещаемый на реальный |
экземпляр данных в приложении. |
|||||||||||||||||
|
2014 |
00 |
00 |
00 |
00 |
|
|
|
|
||||||||||||
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
адрес процедуры |
|
|
|
POSIX. Позиционно-независимый код в архитектуре IA-32.
Использование перемещаемых записей несколько замедляет процесс загрузки разделяемых объектов и, кроме того, существенно осложняет использование общих проекций — в современных POSIX-системах часто варьируют адреса разделяемых объектов от процесса к процессу и от запуска к запуску; это существенно усложняет многие виды атак, особенно удаленных.
С этим связана рекомендация использовать позиционно-независимый код при компиляции разделяемых объектов, несмотря даже на то, что код получается большего размера и чуть медленнее выполняется (усложняется только обращение к статическим данным; работа с автоматическими переменными остается без изменений).
Пример реализации позиционно-независимого кода:
|
Исходный код test.c |
|
|
gcc -S -o test-rel.s -O3 -fomit-frame-pointer -shared test.c |
|
|
gcc -fPIC -S -o test-rel.s -O3 -fomit-frame-pointer -shared test.c |
|
|||||
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
#include <stdio.h> |
.section |
.rodata.str1.1,"aMS" |
.section |
.rodata.str1.1,"aMS" |
|
|||||||
|
static int s_x; |
|
|
.LC0: .string"%d" |
|
|
|
.LC0: .string"%d" |
|
||||
|
|
|
.text |
|
|
|
|
.text |
|
|
|
||
|
|
|
|
|
|
|
|
|
|
|
|
||
|
void show_x( void ) |
|
|
.globl add_x |
|
|
|
|
.globl add_x |
|
|
|
|
|
|
|
.type |
add_x, @function |
|
|
.type |
add_x, @function |
|
||||
|
{ |
|
|
|
|
|
|
||||||
|
|
|
|
add_x: |
|
|
|
|
add_x: |
|
|
|
|
|
printf("%d", add_x(0)); |
|
|
|
|
|
|
|
|
|
|||
|
|
|
movl |
4(%esp), %eax |
|
|
call |
__i686.get_pc_thunk.cx |
|
||||
|
} |
|
|
|
|
|
|
||||||
|
|
|
|
addl |
s_x, %eax |
|
|
addl |
$_GLOBAL_OFFSET_TABLE_, %ecx |
|
|||
|
|
|
|
|
|
|
|
||||||
|
int add_x( int v ) |
|
|
movl |
%eax, s_x |
|
|
movl |
4(%esp), %eax |
|
|||
|
|
|
ret |
|
|
|
|
addl |
s_x@GOTOFF(%ecx), %eax |
|
|||
|
{ |
|
|
|
|
|
|
|
|
||||
|
|
|
|
.globl show_x |
|
|
|
|
movl |
%eax, s_x@GOTOFF(%ecx) |
|
||
|
return s_x += v; |
|
|
|
|
|
|
|
|||||
|
|
|
|
|
|
|
ret |
|
|
|
|||
|
} |
|
|
|
.type |
show_x, @function |
|
|
|
|
|
||
|
|
|
|
|
|
|
|
|
|
||||
|
|
|
|
|
show_x: |
|
|
|
|
.globl show_x |
|
|
|
|
|
|
|
|
|
|
|
||||||
|
Получение адреса секции данных |
|
|
|
|
|
|
|
|
|
|||
|
|
|
subl |
$12, %esp |
|
|
.type |
show_x, @function |
|
||||
|
осуществляется с помощью вызова |
|
|
movl |
s_x, %eax |
|
|
show_x: |
|
|
|
||
|
служебной процедуры, загружающей в |
|
|
movl |
$.LC0, (%esp) |
|
|
subl |
$8, %esp |
|
|||
|
какой-либо регистр значение адреса |
|
|
movl |
%eax, 4(%esp) |
|
|
movl |
$0, (%esp) |
|
|||
|
возврата. |
|
|
|
call |
printf |
|
|
|
call |
add_x@PLT |
|
|
|
Вызов __i686.get_pc_thunk.cx |
|
|
addl |
$12, %esp |
|
|
call |
__i686.get_pc_thunk.cx |
|
|||
|
возвращает в ecx адрес возврата — т.е. |
|
|
ret |
|
|
|
|
addl |
$_GLOBAL_OFFSET_TABLE_, %ecx |
|
||
|
адрес следующей после вызова |
|
|
.local s_x |
|
|
|
movl |
%eax, 4(%esp) |
|
|||
|
инструкции; далее сборщик может |
|
|
|
|
|
leal |
.LC0@GOTOFF(%ecx), %eax |
|
||||
|
|
|
.comm |
s_x,4,4 |
|
|
|
|
|||||
|
вычислить расстояние между текущей |
|
|
|
|
|
movl |
%eax, (%esp) |
|
||||
|
|
|
|
|
|
|
|
|
|||||
|
|
|
|
|
|
|
|
|
|
call |
printf@PLT |
|
|
|
точкой и началом секции данных (реально — начала секции .got.plt, после которой |
|
|
|
|||||||||
|
|
|
addl |
$8, %esp |
|
||||||||
|
размещаются секции .data и .bss). Т.е. примерно такие инструкции: |
|
|
|
|||||||||
|
|
|
ret |
|
|
|
|||||||
|
call |
__i686.get_pc_thunk.cx |
|
|
|
|
|
|
|
||||
|
|
|
|
|
.local |
s_x |
|
|
|||||
|
addl |
$адрес_секции_got - ., %ecx |
|
|
|
|
|
|
|||||
|
Компилятор gcc распознает обращение к специальной «переменной» _GLOBAL_OFFSET_TABLE_ |
|
|
.comm |
s_x,4,4 |
|
|||||||
|
|
|
|
|
|
|
|||||||
|
как необходимость вычислить расстояние до секции .got.plt. |
|
|
|
.section |
.text.__i686.get_pc_thunk.cx,"axG" |
|
||||||
|
Функции семейства ...get_pc_thunk... генерируются компилятором и размещаются в |
|
|
.globl __i686.get_pc_thunk.cx |
|
||||||||
|
специфичных секциях по мере надобности. Так, например, функция __i686.get_pc_thunk.bx |
|
|
.hidden__i686.get_pc_thunk.cx |
|
||||||||
|
вернет значение EIP в EBX, а не в ECX и будет размещена в отдельной секции — это позволит |
|
|
.type |
__i686.get_pc_thunk.cx, @function |
|
|||||||
|
сборщику наложить одноименные секции с соответствующими процедурами друг на друга. |
|
|
__i686.get_pc_thunk.cx: |
|
||||||||
|
|
|
movl |
(%esp), %ecx |
|
||||||||
|
|
|
|
|
|
|
|
|
|
|
|||
|
|
|
|
|
|
|
|
|
|
ret |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|