PLT表和GOT表
最近做pwn的题目,遇到了PLT表和GOT表的问题,查阅了很多资料,最后有了自己的一点理解,记录下来以便以后的学习,以下为调用libc动态库的情况。以下内容均为个人理解,欢迎大佬批评指正。
主要参考网址:CTF|pwn栈溢出入门题level3解题思路及个人总结
GOT表
GLOBAL_OFFSET_TABLE:全局偏移量表
主要分为头部,前两项和之后的项
头部即GOT[0],包含.dynamic段的地址,.dynamic段包含了动态链接器用来绑定过程地址的信息。
前两项应该是预留的调用_dl_runtime_resolve_avx()的地址
GOT[1]包含动态链接器的标识。
GOT[2]包含动态链接器的延迟绑定代码的入口点。
GOT[3]及之后的项主要存储的是具体函数在libc的偏移地址,由PLT表转向前两项后调用_dl_runtime_resolve_avx将用到的函数的偏移地址填进GOT表相应位置。
PLT表
主要分成两部分,表头部分和表项
表头部分压入GOT然后跳转到GOT+2
表项部分对应每个函数主要由三项组成:
jmp 对应GOT表项 push GOT索引 jmp PLT表头
程序调用libc中函数过程
首次调用
-
调用的函数根据函数名到PLT中查找GOT表项位置
-
此时用到jmp 对应GOT表项。跳到对应GOT项,对应关系为去掉PLT头部和GOT前两项后每项一一对应。(PLT[0]->GOT[3],PLT[1]->GOT[4])
-
到GOT表后由于是首次调用,GOT表并不知道函数位置,所以简单的返回PLT表中,返回的位置就是PLT中的push GOT索引(其实GOT表自身并不对表项编号,而是PLT表编好号,push的内容是PLT制定好的)
-
push之后执行jmp PLT表头,跳转到PLT表头
-
PLT表头跳向GOT表第二项以调用_dl_runtime_resolve_avx
-
GOT表调用_dl_runtime_resolve_avx
-
_dl_runtime_resolve_avx将查询到的函数地址填回GOT表对应位置(推测是靠PLT的push确定填入位置)并将函数地址返回给调用函数使其能实现调用。
二次调用
二次调用相较首次调用简单很多,因为GOT表中已经存入需要的函数的地址,不需要再调用查询。
-
根据函数名查找PLT表项
-
跳转到对应的GOT表项
-
返回调用的函数的地址