用类似于pwn中常用的ret2dl-resolve技巧来寻找

我们再来看一下elf是如何通过重定位来找到函数地址的,
这里贴一段来自一个师傅对最核心的代码和分析(具体来源有点找不到了)

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15

_dl_fixup(struct link_map *l, ElfW(Word) reloc_arg)
{
    // 首先通过参数reloc_arg计算重定位入口，这里的JMPREL即.rel.plt，reloc_offset即reloc_arg
    const PLTREL *const reloc = (const void *) (D_PTR (l, l_info[DT_JMPREL]) + reloc_offset);
    // 然后通过reloc->r_info找到.dynsym中对应的条目
    const ElfW(Sym) *sym = &symtab[ELFW(R_SYM) (reloc->r_info)];
    // 这里还会检查reloc->r_info的最低位是不是R_386_JUMP_SLOT=7
    assert (ELFW(R_TYPE)(reloc->r_info) == ELF_MACHINE_JMP_SLOT);
    // 接着通过strtab+sym->st_name找到符号表字符串，result为libc基地址
    result = _dl_lookup_symbol_x (strtab + sym->st_name, l, &sym, l->l_scope, version, ELF_RTYPE_CLASS_PLT, flags, NULL);
    // value为libc基址加上要解析函数的偏移地址，也即实际地址
    value = DL_FIXUP_MAKE_VALUE (result, sym ? (LOOKUP_VALUE_ADDRESS (result) + sym->st_value) : 0);
    // 最后把value写入相应的GOT表条目中
    return elf_machine_fixup_plt (l, result, reloc, rel_addr, value);
}

我们可以选择调用mmap函数来将我们的文件写入到进程中,之后通过干扰重定位或者注入eip指针来调用我们所需要的函数,这里看一下mmap函数的定义:

1
2

#include <sys/mman.h>
void *mmap(void *start, size_t length, int prot, int flags, int fd, off_t offset);

其他的参数想必大家都很熟悉,因此这里我只列出prot的一些参数选择

1
2
3
4

PROT_EXEC //页内容可以被执行
PROT_READ //页内容可以被读取
PROT_WRITE //页可以被写入
PROT_NONE //页不可访问

而这个是可以通过or符号来组合选择的

比如 “PROT_READ | PROT_EXEC | PROT_WRITE”,可以 弄出一块可读可写可执行的区域,之后完成我们所需要做的操作即可

比如调用某个函数,或者替换某个函数

但是如果没有特殊需求(比如某某触发条件时),只需要执行我们想要执行的程序时,更简单的方法是通过共享对象构造函数来完成,也就是

1

__attribute __（（constructor））装饰器

在c++中,对于一个类我们可以通过编写构造函数来完成类中某些元素的初始化,在写好构造函数后,我们所创建的每一个对象都会自动调用构造函数来做一些初始化的操作,而共享对象构造函数也十分类似
共享库可以在加载时自动调用 attribute （（constructor））装饰器来加载我们所写的代码,如:

1
2
3
4
5
6
7
8

//库文件:myso.so
#include <stdio.h>
#include <system>
void __attribute__((constructor)) test(void) {
    system("date");
}
/* gcc -fPIC -shared myso.c -c -o myso.o
   ld -shared -ldl myso.o -o myso.so */

so文件的构造函数效果是输出时间,那么便于观看效果,我们写一个程序来检测效果(因为注入的线程会中断原本的程序流畅,因此建议另起一个线程来调用

1
2
3
4
5
6
7
8

//测试文件 :test.c
#include <stdio.h>
#include <dlfcn.h>
int main()
{
   dlopen("./myso.so", RTLD_LAZY);
}
// gcc test.c -o test -ldl

然后运行一下,运行结果:

1
2

 ~/inject/attribute  ./test 
Tue Nov 19 07:41:11 PST 2019

这时如果有人测试
LD_PRELOAD=./myso.so ./test
的话,那么恭喜你,效果十分显著,具体效果师傅们可以自己试试(手动滑稽

另起线程的示例代码:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16

//myso.so pthread版
#include <stdio.h>
#include <unistd.h>
#include <pthread.h>
void* test(void* a) {
    while (1) {
        system("date");
        sleep(2);
    }
}
void __attribute__((constructor)) pthread_test(void) {
    pthread_t my_pthread;
    pthread_create(&my_pthread, NULL, test, NULL);
}
/* gcc -fPIC -shared myso.c -c -o myso.o
   ld -shared -ldl -lpthread myso.o -o myso.so */

而如果想替换函数,这有一篇文章讲的很好,虽然有些老了

1

https://www.freebuf.com/articles/system/6388.html

最后的最后,向大家推荐几款比较好用的进程注入工具: