AndroidLinker與SO加殼技術(shù)之上篇

1. 前言

Android 系統(tǒng)安全愈發(fā)重要,像傳統(tǒng)pc安全的可執(zhí)行文件加固一樣柱恤,應(yīng)用加固是Android系統(tǒng)安全中非常重要的一環(huán)街佑。目前Android 應(yīng)用加固可以分為dex加固和Native加固愉棱,Native 加固的保護(hù)對(duì)象為 Native 層的 SO 文件翎蹈,使用加殼、反調(diào)試遍愿、混淆存淫、VM 等手段增加SO文件的反編譯難度。目前最主流的 SO 文件保護(hù)方案還是加殼技術(shù)沼填, 在SO文件加殼和脫殼的攻防技術(shù)領(lǐng)域桅咆,最重要的基礎(chǔ)的便是對(duì)于 Linker 即裝載鏈接機(jī)制的理解。對(duì)于非安全方向開發(fā)者坞笙,深刻理解系統(tǒng)的裝載與鏈接機(jī)制也是進(jìn)階的必要條件轧邪。

本文詳細(xì)分析了 Linker 對(duì) SO 文件的裝載和鏈接過程,最后對(duì) SO 加殼的關(guān)鍵技術(shù)進(jìn)行了簡要的介紹羞海。

對(duì)于 Linker 的學(xué)習(xí),還應(yīng)該包括 Linker 自舉曲管、可執(zhí)行文件的加載等技術(shù)却邓,但是限于本人的技術(shù)水平,本文的討論范圍限定在 SO 文件的加載院水,也就是在調(diào)用dlopen("libxx.SO")之后腊徙,Linker 的處理過程简十。

本文基于 Android 5.0 AOSP 源碼,僅針對(duì) ARM 平臺(tái)撬腾,為了增強(qiáng)可讀性螟蝙,文中列舉的源碼均經(jīng)過刪減,去除了其他 CPU 架構(gòu)的相關(guān)源碼以及錯(cuò)誤處理民傻。

另:閱讀本文的讀者需要對(duì) ELF 文件結(jié)構(gòu)有一定的了解胰默。

2. SO 的裝載與鏈接

2.1 整體流程說明

1. do_dlopen

調(diào)用 dl_open 后,中間經(jīng)過 dlopen_ext, 到達(dá)第一個(gè)主要函數(shù) do_dlopen:

soinfo* do_dlopen(const char* name, int flags, const Android_dlextinfo* extinfo) {

protect_data(PROT_READ | PROT_WRITE);

soinfo* si = find_library(name, flags, extinfo); // 查找 SO

if (si != NULL) {

si->CallConstructors(); // 調(diào)用 SO 的 init 函數(shù)

}

protect_data(PROT_READ);

return si;

}

do_dlopen 調(diào)用了兩個(gè)重要的函數(shù)漓踢,第一個(gè)是find_library, 第二個(gè)是 soinfo 的成員函數(shù) CallConstructors牵署,find_library 函數(shù)是 SO 裝載鏈接的后續(xù)函數(shù), 完成 SO 的裝載鏈接后喧半, 通過 CallConstructors 調(diào)用 SO 的初始化函數(shù)奴迅。

2. find_library_internal

find_library 直接調(diào)用了 find_library_internal,下面直接看 find_library_internal函數(shù):

static soinfo* find_library_internal(const char* name, int dlflags, const Android_dlextinfo* extinfo) {

if (name == NULL) {

return somain;

}

soinfo* si = find_loaded_library_by_name(name); ?// 判斷 SO 是否已經(jīng)加載

if (si == NULL) {

TRACE("[ '%s' has not been found by name. ?Trying harder...]", name);

si = load_library(name, dlflags, extinfo); ????// 繼續(xù) SO 的加載流程

}

if (si != NULL && (si->flags & FLAG_LINKED) == 0) {

DL_ERR("recursive link to \"%s\"", si->name);

return NULL;

}

return si;

}

find_library_internal 首先通過 find_loaded_library_by_name 函數(shù)判斷目標(biāo) SO 是否已經(jīng)加載挺据,如果已經(jīng)加載則直接返回對(duì)應(yīng)的soinfo指針取具,沒有加載的話則調(diào)用 load_library 繼續(xù)加載流程,下面看 load_library 函數(shù)扁耐。

3. load_library

static soinfo* load_library(const char* name, int dlflags, const Android_dlextinfo* extinfo) {

int fd = -1;

...

// Open the file.

fd = open_library(name); ???????????????// 打開 SO 文件暇检,獲得文件描述符 fd

ElfReader elf_reader(name, fd); ????????// 創(chuàng)建 ElfReader 對(duì)象

...

// Read the ELF header and load the segments.

if (!elf_reader.Load(extinfo)) { ???????// 使用 ElfReader 的 Load 方法,完成 SO 裝載

return NULL;

}

soinfo* si = soinfo_alloc(SEARCH_NAME(name), &file_stat); ?// 為 SO 分配新的 soinfo 結(jié)構(gòu)

if (si == NULL) {

return NULL;

}

si->base = elf_reader.load_start(); ?// 根據(jù)裝載結(jié)果做葵,更新 soinfo 的成員變量

si->size = elf_reader.load_size();

si->load_bias = elf_reader.load_bias();

si->phnum = elf_reader.phdr_count();

si->phdr = elf_reader.loaded_phdr();

...

if (!soinfo_link_image(si, extinfo)) { ?// 調(diào)用 soinfo_link_image 完成 SO 的鏈接過程

soinfo_free(si);

return NULL;

}

return si;

}

load_library 函數(shù)呈現(xiàn)了 SO 裝載鏈接的整個(gè)流程占哟,主要有3步:

1裝載:創(chuàng)建ElfReader對(duì)象,通過 ElfReader 對(duì)象的 Load 方法將 SO 文件裝載到內(nèi)存

2分配soinfo:調(diào)用 soinfo_alloc 函數(shù)為 SO 分配新的 soinfo 結(jié)構(gòu)酿矢,并按照裝載結(jié)果更新相應(yīng)的成員變量

3鏈接: 調(diào)用 soinfo_link_image 完成 SO 的鏈接

通過前面的分析榨乎,可以看到, load_library 函數(shù)中包含了 SO 裝載鏈接的主要過程, 后文主要通過分析 ElfReader 類和 soinfo_link_image 函數(shù), 來分別介紹 SO 的裝載和鏈接過程瘫筐。

2.2 裝載

在 load_library 中蜜暑, 首先初始化 elf_reader 對(duì)象, 第一個(gè)參數(shù)為 SO 的名字, 第二個(gè)參數(shù)為文件描述符 fd:

ElfReader elf_reader(name, fd)

之后調(diào)用 ElfReader 的 load 方法裝載 SO策肝。

...

// Read the ELF header and load the segments.

if (!elf_reader.Load(extinfo)) {

return NULL;

}

...

ElfReader::Load 方法如下:

bool ElfReader::Load(const Android_dlextinfo* extinfo) {

return ReadElfHeader() && ????????????// 讀取 elf header

VerifyElfHeader() && ??????????// 驗(yàn)證 elf header

ReadProgramHeader() && ????????// 讀取 program header

ReserveAddressSpace(extinfo) &&// 分配空間

LoadSegments() && ?????????????// 按照 program header 指示裝載 segments

FindPhdr(); ???????????????????// 找到裝載后的 phdr 地址

}

ElfReader::Load 方法首先讀取 SO 的elf header肛捍,再對(duì)elf header進(jìn)行驗(yàn)證,之后讀取program header之众,根據(jù)program header 計(jì)算 SO 需要的內(nèi)存大小并分配相應(yīng)的空間拙毫,緊接著將 SO 按照以 segment 為單位裝載到內(nèi)存,最后在裝載到內(nèi)存的 SO 中找到program header棺禾,方便之后的鏈接過程使用缀蹄。

下面深入 ElfReader 的這幾個(gè)成員函數(shù)進(jìn)行詳細(xì)介紹。

l2.2.1 read&verify elfheader

bool ElfReader::ReadElfHeader() {

ssize_t rc = read(fd_, &header_, sizeof(header_));

if (rc != sizeof(header_)) {

return false;

}

return true;

}

ReadElfHeader 使用 read 直接從 SO 文件中將 elfheader 讀取 header中,header_ 為 ElfReader 的成員變量缺前,類型為 Elf32_Ehdr蛀醉,通過 header 可以方便的訪問 elf header中各個(gè)字段,elf header中包含有 program header table衅码、section header table等重要信息拯刁。

對(duì) elf header 的驗(yàn)證包括:

magic字節(jié)

32/64 bit與當(dāng)前平臺(tái)是否一致

大小端

類型:可執(zhí)行文件、SO…

版本:一般為1逝段,表示當(dāng)前版本

平臺(tái):ARM垛玻、x86、amd64…

有任何錯(cuò)誤都會(huì)導(dǎo)致加載失敗惹恃。

l2.2.2 Read ProgramHeader

bool ElfReader::ReadProgramHeader() {

phdr_num_ = header_.e_phnum; ?????// program header 數(shù)量

// mmap 要求頁對(duì)齊

ElfW(Addr) page_min = PAGE_START(header_.e_phoff);

ElfW(Addr) page_max = PAGE_END(header_.e_phoff + (phdr_num_ * sizeof(ElfW(Phdr))));

ElfW(Addr) page_offset = PAGE_OFFSET(header_.e_phoff);

phdr_size_ = page_max - page_min;

// 使用 mmap 將 program header 映射到內(nèi)存

void* mmap_result = mmap(NULL, phdr_size_, PROT_READ, MAP_PRIVATE, fd_, page_min);

phdr_mmap_ = mmap_result;

// ElfReader 的成員變量 phdr_table_ 指向program header table

phdr_table_ = reinterpret_cast(reinterpret_cast(mmap_result) + page_offset);

return true;

}

將 program header 在內(nèi)存中單獨(dú)映射一份夭谤,用于解析program header 時(shí)臨時(shí)使用,在 SO 裝載到內(nèi)存后巫糙,便會(huì)釋放這塊內(nèi)存朗儒,轉(zhuǎn)而使用裝載后的 SO 中的program header。

l2.2.3 reserve space & 計(jì)算 load size

bool ElfReader::ReserveAddressSpace(const Android_dlextinfo* extinfo) {

ElfW(Addr) min_vaddr;

// 計(jì)算 加載SO 需要的空間大小

load_size_ = phdr_table_get_load_size(phdr_table_, phdr_num_, &min_vaddr);

// min_vaddr 一般情況為零参淹,如果不是則表明 SO 指定了加載基址

uint8_t* addr = reinterpret_cast(min_vaddr);

void* start;

int mmap_flags = MAP_PRIVATE | MAP_ANONYMOUS;

start = mmap(addr, load_size_, PROT_NONE, mmap_flags, -1, 0);

load_start_ = start;

load_bias_ = reinterpret_cast(start) - addr;

return true;

}

首先調(diào)用 phdr_table_get_load_size 函數(shù)獲取 SO 在內(nèi)存中需要的空間load_size醉锄,然后使用 mmap 匿名映射,預(yù)留出相應(yīng)的空間浙值。

關(guān)于loadbias: SO 可以指定加載基址恳不,但是 SO 指定的加載基址可能不是頁對(duì)齊的,這種情況會(huì)導(dǎo)致實(shí)際映射地址和指定的加載地址有一個(gè)偏差开呐,這個(gè)偏差便是load_bias_烟勋,之后在針對(duì)虛擬地址進(jìn)行計(jì)算時(shí)需要使用load_bias_修正。普通的 SO 都不會(huì)指定加載基址筐付,這時(shí)min_vaddr = 0卵惦,則load_bias_ = load_start_,即load_bias_等于加載基址瓦戚,下文會(huì)將load_bias_直接稱為基址沮尿。

下面深入phdr_table_get_load_size分析一下 load_size 的計(jì)算:使用成員變量 phdr_table 遍歷所有的program header, 找到所有類型為 PT_LOAD 的 segment 的 p_vaddr 的最小值较解,p_vaddr + p_memsz 的最大值畜疾,分別作為 min_vaddr 和 max_vaddr,在將兩個(gè)值分別對(duì)齊到頁首和頁尾印衔,最終使用對(duì)齊后的 max_vaddr - min_vaddr 得到 load_size啡捶。

size_t phdr_table_get_load_size(const ElfW(Phdr)* phdr_table, size_t phdr_count,

ElfW(Addr)* out_min_vaddr,

ElfW(Addr)* out_max_vaddr) {

ElfW(Addr) min_vaddr = UINTPTR_MAX;

ElfW(Addr) max_vaddr = 0;

bool found_pt_load = false;

for (size_t i = 0; i < phdr_count; ++i) {

const ElfW(Phdr)* phdr = &phdr_table[i];

if (phdr->p_type != PT_LOAD) {

continue;

}

found_pt_load = true;

if (phdr->p_vaddr < min_vaddr) {

min_vaddr = phdr->p_vaddr; ????????// 記錄最小的虛擬地址

}

if (phdr->p_vaddr + phdr->p_memsz > max_vaddr) {

max_vaddr = phdr->p_vaddr + phdr->p_memsz; ?// 記錄最大的虛擬地址

}

}

if (!found_pt_load) {

min_vaddr = 0;

}

min_vaddr = PAGE_START(min_vaddr); ?????// 頁對(duì)齊

max_vaddr = PAGE_END(max_vaddr); ?????// 頁對(duì)齊

if (out_min_vaddr != NULL) {

*out_min_vaddr = min_vaddr;

}

if (out_max_vaddr != NULL) {

*out_max_vaddr = max_vaddr;

}

return max_vaddr - min_vaddr; ????????// load_size = max_vaddr - min_vaddr

}

2.2.4 Load Segments

遍歷 program header table,找到類型為 PT_LOAD 的 segment:

00001.計(jì)算 segment 在內(nèi)存空間中的起始地址 segstart 和結(jié)束地址 seg_end奸焙,seg_start 等于虛擬偏移加上基址load_bias届慈,同時(shí)由于 mmap 的要求徒溪,都要對(duì)齊到頁邊界得到 seg_page_start 和 seg_page_end。

00002.計(jì)算 segment 在文件中的頁對(duì)齊后的起始地址 file_page_start 和長度 file_length金顿。

00003.使用 mmap 將 segment 映射到內(nèi)存,指定映射地址為 seg_page_start鲤桥,長度為 file_length揍拆,文件偏移為 file_page_start。

bool ElfReader::LoadSegments() {

for (size_t i = 0; i < phdr_num_; ++i) {

const ElfW(Phdr)* phdr = &phdr_table_[i];

if (phdr->p_type != PT_LOAD) {

continue;

}

// Segment 在內(nèi)存中的地址.

ElfW(Addr) seg_start = phdr->p_vaddr + load_bias_;

ElfW(Addr) seg_end ??= seg_start + phdr->p_memsz;

ElfW(Addr) seg_page_start = PAGE_START(seg_start);

ElfW(Addr) seg_page_end ??= PAGE_END(seg_end);

ElfW(Addr) seg_file_end ??= seg_start + phdr->p_filesz;

// 文件偏移

ElfW(Addr) file_start = phdr->p_offset;

ElfW(Addr) file_end ??= file_start + phdr->p_filesz;

ElfW(Addr) file_page_start = PAGE_START(file_start);

ElfW(Addr) file_length = file_end - file_page_start;

if (file_length != 0) {

// 將文件中的 segment 映射到內(nèi)存

void* seg_addr = mmap(reinterpret_cast(seg_page_start),

file_length,

PFLAGS_TO_PROT(phdr->p_flags),

MAP_FIXED|MAP_PRIVATE,

fd_,

file_page_start);

}

// 如果 segment 可寫, 并且沒有在頁邊界結(jié)束茶凳,那么就將 segemnt end 到頁邊界的內(nèi)存清零嫂拴。

if ((phdr->p_flags & PF_W) != 0 && PAGE_OFFSET(seg_file_end) > 0) {

memset(reinterpret_cast(seg_file_end), 0, PAGE_SIZE - PAGE_OFFSET(seg_file_end));

}

seg_file_end = PAGE_END(seg_file_end);

// 將 (內(nèi)存長度 - 文件長度) 對(duì)應(yīng)的內(nèi)存進(jìn)行匿名映射

if (seg_page_end > seg_file_end) {

void* zeromap = mmap(reinterpret_cast(seg_file_end),

seg_page_end - seg_file_end,

PFLAGS_TO_PROT(phdr->p_flags),

MAP_FIXED|MAP_ANONYMOUS|MAP_PRIVATE,

-1,

0);

}

}

return true;

}

2.3 分配 soinfo

load_library 在調(diào)用 load_segments 完成裝載后,接著調(diào)用 soinfo_alloc 函數(shù)為目標(biāo)SO分配soinfo贮喧,soinfo_alloc 函數(shù)實(shí)現(xiàn)如下:

static soinfo* soinfo_alloc(const char* name, struct stat* file_stat) {

soinfo* si = g_soinfo_allocator.alloc(); ?//分配空間筒狠,可以簡單理解為 malloc

// Initialize the new element.

memset(si, 0, sizeof(soinfo));

strlcpy(si->name, name, sizeof(si->name));

si->flags = FLAG_NEW_SOINFO;

sonext->next = si; ???// 加入到存有所有 soinfo 的鏈表中

sonext = si;

return si;

}

Linker 為 每個(gè) SO 維護(hù)了一個(gè)soinfo結(jié)構(gòu),調(diào)用 dlopen時(shí)箱沦,返回的句柄其實(shí)就是一個(gè)指向該 SO 的 soinfo 指針辩恼。soinfo 保存了 SO 加載鏈接以及運(yùn)行期間所需的各類信息,簡單列舉一下:

裝載鏈接期間主要使用的成員:

·裝載信息

const ElfW(Phdr)* phdr;

size_t phnum;

ElfW(Addr) base;

size_t size;

·符號(hào)信息

const char* strtab;

ElfW(Sym)* symtab;

·重定位信息

ElfW(Rel)* plt_rel;

size_t plt_rel_count;

ElfW(Rel)* rel;

size_t rel_count;

·init 函數(shù)和 finit 函數(shù)

Linker_function_t* init_array;

size_t init_array_count;

Linker_function_t* fini_array;

size_t fini_array_count;

Linker_function_t init_func;

Linker_function_t fini_func;

運(yùn)行期間主要使用的成員:

導(dǎo)出符號(hào)查找(dlsym):

const char* strtab;

ElfW(Sym)* symtab;

size_t nbucket;

size_t nchain;

unsigned* bucket;

unsigned* chain;

ElfW(Addr) load_bias;

·異常處理:

unsigned* ARM_exidx;

size_t ARM_exidx_count;

load_library 在為 SO 分配 soinfo 后谓形,會(huì)將裝載結(jié)果更新到 soinfo 中灶伊,后面的鏈接過程就可以直接使用soinfo的相關(guān)字段去訪問 SO 中的信息。

...

si->base = elf_reader.load_start();

si->size = elf_reader.load_size();

si->load_bias = elf_reader.load_bias();

si->phnum = elf_reader.phdr_count();

si->phdr = elf_reader.loaded_phdr();

...

點(diǎn)此查看《AndroidLinker與SO加殼技術(shù)之下篇》

騰訊御安全團(tuán)隊(duì)

最后編輯于
?著作權(quán)歸作者所有,轉(zhuǎn)載或內(nèi)容合作請(qǐng)聯(lián)系作者
  • 序言:七十年代末寒跳,一起剝皮案震驚了整個(gè)濱河市聘萨,隨后出現(xiàn)的幾起案子,更是在濱河造成了極大的恐慌童太,老刑警劉巖米辐,帶你破解...
    沈念sama閱讀 216,544評(píng)論 6 501
  • 序言:濱河連續(xù)發(fā)生了三起死亡事件,死亡現(xiàn)場離奇詭異书释,居然都是意外死亡翘贮,警方通過查閱死者的電腦和手機(jī),發(fā)現(xiàn)死者居然都...
    沈念sama閱讀 92,430評(píng)論 3 392
  • 文/潘曉璐 我一進(jìn)店門征冷,熙熙樓的掌柜王于貴愁眉苦臉地迎上來择膝,“玉大人,你說我怎么就攤上這事检激‰茸剑” “怎么了?”我有些...
    開封第一講書人閱讀 162,764評(píng)論 0 353
  • 文/不壞的土叔 我叫張陵叔收,是天一觀的道長齿穗。 經(jīng)常有香客問我,道長饺律,這世上最難降的妖魔是什么窃页? 我笑而不...
    開封第一講書人閱讀 58,193評(píng)論 1 292
  • 正文 為了忘掉前任,我火速辦了婚禮,結(jié)果婚禮上脖卖,老公的妹妹穿的比我還像新娘乒省。我一直安慰自己,他們只是感情好畦木,可當(dāng)我...
    茶點(diǎn)故事閱讀 67,216評(píng)論 6 388
  • 文/花漫 我一把揭開白布袖扛。 她就那樣靜靜地躺著,像睡著了一般十籍。 火紅的嫁衣襯著肌膚如雪蛆封。 梳的紋絲不亂的頭發(fā)上,一...
    開封第一講書人閱讀 51,182評(píng)論 1 299
  • 那天勾栗,我揣著相機(jī)與錄音惨篱,去河邊找鬼。 笑死围俘,一個(gè)胖子當(dāng)著我的面吹牛砸讳,可吹牛的內(nèi)容都是我干的。 我是一名探鬼主播楷拳,決...
    沈念sama閱讀 40,063評(píng)論 3 418
  • 文/蒼蘭香墨 我猛地睜開眼绣夺,長吁一口氣:“原來是場噩夢(mèng)啊……” “哼!你這毒婦竟也來了欢揖?” 一聲冷哼從身側(cè)響起陶耍,我...
    開封第一講書人閱讀 38,917評(píng)論 0 274
  • 序言:老撾萬榮一對(duì)情侶失蹤,失蹤者是張志新(化名)和其女友劉穎她混,沒想到半個(gè)月后烈钞,有當(dāng)?shù)厝嗽跇淞掷锇l(fā)現(xiàn)了一具尸體,經(jīng)...
    沈念sama閱讀 45,329評(píng)論 1 310
  • 正文 獨(dú)居荒郊野嶺守林人離奇死亡坤按,尸身上長有42處帶血的膿包…… 初始之章·張勛 以下內(nèi)容為張勛視角 年9月15日...
    茶點(diǎn)故事閱讀 37,543評(píng)論 2 332
  • 正文 我和宋清朗相戀三年毯欣,在試婚紗的時(shí)候發(fā)現(xiàn)自己被綠了。 大學(xué)時(shí)的朋友給我發(fā)了我未婚夫和他白月光在一起吃飯的照片臭脓。...
    茶點(diǎn)故事閱讀 39,722評(píng)論 1 348
  • 序言:一個(gè)原本活蹦亂跳的男人離奇死亡酗钞,死狀恐怖,靈堂內(nèi)的尸體忽然破棺而出来累,到底是詐尸還是另有隱情砚作,我是刑警寧澤,帶...
    沈念sama閱讀 35,425評(píng)論 5 343
  • 正文 年R本政府宣布嘹锁,位于F島的核電站葫录,受9級(jí)特大地震影響,放射性物質(zhì)發(fā)生泄漏领猾。R本人自食惡果不足惜米同,卻給世界環(huán)境...
  • 文/蒙蒙 一骇扇、第九天 我趴在偏房一處隱蔽的房頂上張望。 院中可真熱鬧面粮,春花似錦少孝、人聲如沸。這莊子的主人今日做“春日...
    開封第一講書人閱讀 31,671評(píng)論 0 22
  • 文/蒼蘭香墨 我抬頭看了看天上的太陽。三九已至冷溃,卻和暖如春,著一層夾襖步出監(jiān)牢的瞬間梦裂,已是汗流浹背似枕。 一陣腳步聲響...
    開封第一講書人閱讀 32,825評(píng)論 1 269
  • 我被黑心中介騙來泰國打工, 沒想到剛下飛機(jī)就差點(diǎn)兒被人妖公主榨干…… 1. 我叫王不留年柠,地道東北人凿歼。 一個(gè)月前我還...
    沈念sama閱讀 47,729評(píng)論 2 368
  • 正文 我出身青樓,卻偏偏與公主長得像冗恨,于是被迫代替她去往敵國和親答憔。 傳聞我的和親對(duì)象是個(gè)殘疾皇子,可洞房花燭夜當(dāng)晚...
    茶點(diǎn)故事閱讀 44,614評(píng)論 2 353

推薦閱讀更多精彩內(nèi)容