簡介

在逆向Android底層時贫贝，一般都或多或少的接觸so文件，需要逆向so文件，一般的方法是往so文件植入我們的調(diào)試的代碼部脚；而通常都是通過添加section段來植入代碼；查看本篇文章之前你需要先了解elf文件格式裤纹，so文件就是采用這種格式的

簡單介紹elf文件格式

elf文件一般是由elf文件頭委刘、program header頭（多個）、section段（多個）和section header頭（多個組成）鹰椒。

program header

程序運行時锡移，定位文件中各個段的位置，提供創(chuàng)建程序映像的具體信息漆际；一個program header指向一個segment(運行時的稱呼)罩抗，而一個segement可能包含多個section 段

1.png

section header

執(zhí)行之前描述文件結(jié)構(gòu)的，理論上來說灿椅，Linux運行期間不需要section header頭的，可以刪掉钞支；一個section header頭對應一個section 段茫蛹，所以添加一個section段時還要添加一個section header頭

section段

section段是elf文件的主題，很多內(nèi)容都保存在里面烁挟，包括我們熟悉的.text婴洼、.rodata、.data等等撼嗓，還有我們不熟悉的.got(全局偏移表)柬采、.plt（過程鏈接表）等等，這兩個表主要用于函數(shù)和全局變量的調(diào)用且警，可參考這個鏈接理解這兩個表粉捻，下面是展示部分的section header頭：

1.png

進入主題 -- 添加section字段

當ELF文件被加載到內(nèi)存中后，系統(tǒng)會將多個具有相同權限（flg值）section合并一個segment斑芜。操作系統(tǒng)往往以頁為基本單位來管理內(nèi)存分配肩刃，一般頁的大小為4096B，即4KB的大小。同時盈包，內(nèi)存的權限管理的粒度也是以頁為單位沸呐，頁內(nèi)的內(nèi)存是具有同樣的權限等屬性，并且操作系統(tǒng)對內(nèi)存的管理往往追求高效和高利用率這樣的目標呢燥。ELF文件在被映射時崭添，是以系統(tǒng)的頁長度為單位的，那么每個section在映射時的長度都是系統(tǒng)頁長度的整數(shù)倍叛氨，如果section的長度不是其整數(shù)倍呼渣，則導致多余部分也將占用一個頁。所以section段的位置和長度不是隨便添加的力试，要根據(jù)program header頭的align對齊方式來添加

確定添加位置

新加入的section一般是在文件末尾徙邻，但是這里不是真正的文件末尾，而是將文件加載到內(nèi)存映像中的末尾畸裳，一般等于虛擬地址vaddr+占用空間大小memsiz缰犁，但是這樣還不行，還要做字節(jié)對其怖糊，我們知道文件末尾不等于映像末尾帅容，一般這個映像末尾比文件末尾大，因為操作系統(tǒng)對內(nèi)存都是以頁的粒度來操作的伍伤，所以我們添加section段要找到真正的映像末尾并徘，操作系統(tǒng)會把program header的type為LOAD的段加入內(nèi)存映像中，而LOAD類型的program header一般都是做升序排列扰魂，我們只需要取最后一個LOAD就可以麦乞，讓vaddr+memsiz在和align做對齊操作就能夠得到映像末尾，算法如下：

/**
     * 對其算法 --- 保證addr能被align整除劝评，系統(tǒng)按align字節(jié)對齊的訪問方式
     * 返回一個addr是align的整數(shù)倍的值
     * @param addr：vaddr + memsi
     * @param align：對其的字節(jié)數(shù)
     * @return
     */
    public static int align(int addr, int align){
        if(align > addr){    //這種情況不好弄姐直，我也不知道怎么辦
            return addr;
        }
        int offset = addr % align;
        return addr + (align-offset);
    }

1.png

添加section header頭

添加section header頭的目的是把5000H的表名和5010H的內(nèi)容聯(lián)系起來；先看section header的結(jié)構(gòu):

typedef struct{
    Elf32_Word sh_name;
    Elf32_Word sh_type;
    Elf32_Word sh_flags;
    Elf32_Addr sh_addr;
    Elf32_Off  sh_offset;
    Elf32_Word sh_size;
    Elf32_Word sh_link;
    Elf32_Word sh_info;
    Elf32_Word sh_addralign;
    Elf32_Word sh_entsize;
}Elf32_Shdr;

sh_name : 是一個字符串表的索引偏移（5000H - 第一個字符串表的位置蒋畜，第一個字符串表位置等于）

sh_addr和 sh_offset填上一個步驟得到的地址即可

sh_size： 就是我們填入的section長度

sh_type：SHT_PROGBITS 1 此節(jié)區(qū)包含程序定義的信息声畏，其格式和含義都由程序來解釋。

sh_flags：

其他的幾個可以不用處理科展，以下是示例代碼：

public static byte[] addSectionHeader(byte[] src){
                /**
                 *  public byte[] sh_name = new byte[4];
                 public byte[] sh_type = new byte[4];
                 public byte[] sh_flags = new byte[4];
                 public byte[] sh_addr = new byte[4];
                 public byte[] sh_offset = new byte[4];
                 public byte[] sh_size = new byte[4];
                 public byte[] sh_link = new byte[4];
                 public byte[] sh_info = new byte[4];
                 public byte[] sh_addralign = new byte[4];
                 public byte[] sh_entsize = new byte[4];
                 */
                byte[] newHeader = new byte[sectionSize];

                //構(gòu)建一個New Section Header
                newHeader = Utils.replaceByteAry(newHeader, 0, Utils.int2Byte(addSectionStartAddr - stringSectionOffset));
                newHeader = Utils.replaceByteAry(newHeader, 4, Utils.int2Byte(ElfType32.SHT_PROGBITS));                         //type=PROGBITS
                newHeader = Utils.replaceByteAry(newHeader, 8, Utils.int2Byte(ElfType32.SHF_ALLOC + ElfType32.SHF_WRITE));              //改字節(jié)區(qū)可以被寫入
                newHeader = Utils.replaceByteAry(newHeader, 12, Utils.int2Byte(addSectionStartAddr+0x10));                        //所代表的字節(jié)區(qū)其實地址
                newHeader = Utils.replaceByteAry(newHeader, 16, Utils.int2Byte(addSectionStartAddr+0x10));
                newHeader = Utils.replaceByteAry(newHeader, 20, Utils.int2Byte(newSectionSize));        //字節(jié)區(qū)大小
                newHeader = Utils.replaceByteAry(newHeader, 24, Utils.int2Byte(0));
                newHeader = Utils.replaceByteAry(newHeader, 28, Utils.int2Byte(0));
                newHeader = Utils.replaceByteAry(newHeader, 32, Utils.int2Byte(4));
                newHeader = Utils.replaceByteAry(newHeader, 36, Utils.int2Byte(0));

                //在末尾增加Section
                byte[] newSrc = new byte[src.length + newHeader.length];
                newSrc = Utils.replaceByteAry(newSrc, 0, src);
                newSrc = Utils.replaceByteAry(newSrc, src.length, newHeader);

                return newSrc;
        }

完善步驟

修改第一個LOAD的program header

將其filesize和memsiz改為文件的總長度

修改section header為.shstrta

將他的size在原有的基礎上加16即可均牢，因為增加了一個section name

至此，完結(jié)才睹，如果把so文件弄回去報了這個錯誤
load segment1: p_offset (0x0) + p_filesz (0x53f8) ( = 0x53f8) past end of file (0x53f8)
這是因為你剛剛添加的段的大小超出了文件大小膨处，因為我們修改program header的filesize和memsize文件總長度见秤，這個長度包括啦文件結(jié)束標志0x0a，我們要修改這兩個值為文件長度減去1即可