从深入浅出角度揭秘 PLT/GOT Hook 的原理和实践

Android

2023-10-16 11:37:29

PLT/GOT Hook：揭秘动态链接背后的秘密

在计算机程序的世界中，链接扮演着至关重要的角色，它将分散的代码片段组合成一个完整的可执行程序。在链接过程中，程序可以采用两种不同的形式：静态链接和动态链接。

静态链接 vs 动态链接

静态链接： 程序在编译时将所有需要的代码和数据直接嵌入到可执行文件中，这种方式虽然快速高效，但一旦编译完成，程序就无法进行任何修改。
动态链接： 程序在编译时并不直接包含所需的所有代码和数据，而是等到运行时才动态加载这些内容。这种方式更加灵活，可以在运行时加载不同的库和模块，便于程序的升级和维护。

PLT/GOT Hook：动态链接的“魔术师”

PLT/GOT Hook是一种动态链接技术，它允许我们在程序运行期间动态修改程序的行为。其原理是通过修改程序的PLT（Procedure Linkage Table）和GOT（Global Offset Table）来实现的。

PLT和GOT

PLT（Procedure Linkage Table）： 一张函数调用跳转表，当程序调用一个外部函数时，会先跳转到PLT中对应的表项，然后再跳转到实际的函数地址。
GOT（Global Offset Table）： 一张全局偏移量表，包含了程序中所有外部符号（包括函数和变量）的地址。当程序调用一个外部函数时，会先从GOT中获取该函数的地址，然后再跳转到该地址。

PLT/GOT Hook的原理

PLT/GOT Hook的原理就是修改PLT或GOT表项，将原本指向目标函数的地址修改为指向我们自己的Hook函数。这样，当程序调用该函数时，就会先执行我们的Hook函数，再执行目标函数。

PLT Hook

PLT Hook是通过修改PLT表项来实现的，具体步骤如下：

找到要Hook的函数在PLT中的表项。
将该表项指向我们自己的Hook函数。
保存原始的函数地址。

GOT Hook

GOT Hook是通过修改GOT表项来实现的，具体步骤如下：

找到要Hook的函数在GOT中的表项。
将该表项指向我们自己的Hook函数。
保存原始的函数地址。

应用实践

PLT/GOT Hook技术在实际应用中有着广泛的用途，例如：

函数替换： 可以用来替换程序中的某些函数，实现程序行为的定制化。
函数跟踪： 可以用来跟踪程序中函数的调用情况，用于性能分析和调试。
安全增强： 可以用来拦截恶意函数的调用，防止程序遭受攻击。

示例代码

以下是一个使用PLT Hook技术替换printf函数的示例代码：

#include <stdio.h>

// Hook函数
void my_printf(const char *format, ...) {
  // 自定义的printf实现
}

int main() {
  // 找到printf函数在PLT中的表项
  void *plt_entry = dlsym(RTLD_NEXT, "printf");

  // 将PLT表项指向我们的Hook函数
  mprotect(plt_entry, sizeof(void *), PROT_READ | PROT_WRITE | PROT_EXEC);
  *(void **)plt_entry = my_printf;

  // 调用printf函数
  printf("Hello, world!\n");

  return 0;
}