AndroidLinker与SO加壳技术之下篇
2.4 鏈接
鏈接過程由 soinfo_link_image 函數(shù)完成，主要可以分為四個主要步驟:
1. 定位 dynamic section，
由函數(shù) phdr_table_get_dynamic_section 完成，該函數(shù)會遍歷 program header，找到為類型為 PT_DYNAMIC 的 header, 從中獲取的是 dynamic section 的信息，主要就是虛擬地址和項數(shù)。
2. 解析 dynamic section
dynamic section本質(zhì)上是類型為Elf32_Dyn的數(shù)組，Elf32_Dyn 結(jié)構(gòu)如下
Elf32_Dyn結(jié)構(gòu)的d_tag屬性表示該項的類型，類型決定了dun中信息的意義，e.g.:當d_tag = DT_SYMTAB表示該項存儲的是符號表的信息，d_un.d_ptr 表示符號表的虛擬地址的偏移，當d_tag = DT_RELSZ時，d_un.d_val 表示重定位表rel的項數(shù)。
解析的過程就是遍歷數(shù)組中的每一項，根據(jù)d_tag的不同，獲取到不同的信息。
dynamic section 中包含的信息主要包括以下 3 類:
3. 加載 needed SO
調(diào)用 find_library 獲取所有依賴的 SO 的 soinfo 指針，如果 SO 還沒有加載，則會將 SO 加載到內(nèi)存，分配一個soinfo*[]指針數(shù)組，用于存放 soinfo 指針。
4. 重定位
重定位SO 鏈接中最復(fù)雜同時也是最關(guān)鍵的一步。重定位做的工作主要是修復(fù)導(dǎo)入符號的引用，下面一節(jié)將對重定位過程進行詳細分析。
soinfo_link_image 的示意代碼:
static bool soinfo_link_image(soinfo* si, const Android_dlextinfo* extinfo) { ...// 1. 獲取 dynamic section 的信息，si->dynamic 指向 dynamic sectionphdr_table_get_dynamic_section(phdr, phnum, base, &si->dynamic,&dynamic_count, &dynamic_flags); ...// 2. 解析dynamic sectionuint32_t needed_count = 0;for (ElfW(Dyn)* d = si->dynamic; d->d_tag != DT_NULL; ++d) {switch (d->d_tag) {// 以下為符號信息case DT_HASH:si->nbucket = reinterpret_cast<uint32_t*>(base + d->d_un.d_ptr)[0];si->nchain = reinterpret_cast<uint32_t*>(base + d->d_un.d_ptr)[1];si->bucket = reinterpret_cast<uint32_t*>(base + d->d_un.d_ptr + 8);si->chain = reinterpret_cast<uint32_t*>(base + d->d_un.d_ptr + 8 + si->nbucket * 4);break;case DT_SYMTAB:si->symtab = reinterpret_cast<ElfW(Sym)*>(base + d->d_un.d_ptr);break;case DT_STRTAB:si->strtab = reinterpret_cast<const char*>(base + d->d_un.d_ptr);break;// 以下為重定位信息case DT_JMPREL:si->plt_rel = reinterpret_cast<ElfW(Rel)*>(base + d->d_un.d_ptr);break;case DT_PLTRELSZ:si->plt_rel_count = d->d_un.d_val / sizeof(ElfW(Rel));break;case DT_REL:si->rel = reinterpret_cast<ElfW(Rel)*>(base + d->d_un.d_ptr);break;case DT_RELSZ:si->rel_count = d->d_un.d_val / sizeof(ElfW(Rel));break;// 以下為 init&finit funcscase DT_INIT:si->init_func = reinterpret_cast<Linker_function_t>(base + d->d_un.d_ptr);break;case DT_FINI:...case DT_INIT_ARRAY:si->init_array = reinterpret_cast<Linker_function_t*>(base + d->d_un.d_ptr);break;case DT_INIT_ARRAYSZ:...case DT_FINI_ARRAY:...case DT_FINI_ARRAYSZ:...// SO 依賴case DT_NEEDED:......} ...// 3. 加載依賴的SOfor (ElfW(Dyn)* d = si->dynamic; d->d_tag != DT_NULL; ++d) {if (d->d_tag == DT_NEEDED) {soinfo* lsi = find_library(library_name, 0, NULL);si->add_child(lsi);*pneeded++ = lsi;}}*pneeded = NULL; ...// 4. 重定位soinfo_relocate(si, si->plt_rel, si->plt_rel_count, needed);soinfo_relocate(si, si->rel, si->rel_count, needed); ...// 設(shè)置已鏈接標志si->flags |= FLAG_LINKED;DEBUG("[ finished linking %s ]", si->name); ｝2.4.1 重定位 relocate
Android ARM 下需要處理兩個重定位表，plt_rel 和 rel，plt 指的是延遲綁定，但是 Android 目前并不對延遲綁定做特殊處理，直接與普通的重定位同時處理。兩個重定位的表都由 soinfo_relocate 函數(shù)處理。
soinfo_relocate 函數(shù)需要遍歷重定位表，處理每個重定位項，每個重定位項的處理過程可已分為 4 步:
1. 解析重定位項和導(dǎo)入符號的信息
?
重定位項的結(jié)構(gòu)如下
typedef struct {Elf32_Addr r_offset; /* 需要重定位的位置的偏移 */Elf32_Word r_info; /* 高24位為符號在符號表中的index，低8位為重定位類型 */ } Elf32_Rel;首先從重定位項獲取的信息如下:
- 重定位的類型 type
- 符號在符號表中的索引號 sym，sym 為0表示為本SO內(nèi)部的重定位，如果不為0，意味著該符號為導(dǎo)入符號
- 重定位的目標地址 reloc，使用r_offset + si_load_bias，相當于 偏移地址+基地址
符號表表項的結(jié)構(gòu)為elf32_sym:
typedef struct elf32_sym {Elf32_Word st_name; /* 名稱 - index into string table */Elf32_Addr st_value; /* 偏移地址 */Elf32_Word st_size; /* 符號長度（ e.g. 函數(shù)的長度） */unsigned char st_info; /* 類型和綁定類型 */unsigned char st_other; /* 未定義 */Elf32_Half st_shndx; /* section header的索引號，表示位于哪個 section 中 */ } Elf32_Sym; 2. 如果 sym 不為0，則查找導(dǎo)入符號的信息
如果 sym 不為0，則繼續(xù)使用 sym 在符號表中獲取符號信息，從符號信息中進一步獲取符號的名稱。隨后調(diào)用 soinfo_do_lookup 函數(shù)在所有依賴的 SO 中根據(jù)符號名稱查找符號信息，返回值類型為 elf32_sym，同時還會返回含有該符號的 SO 的 soinfo( lsi )，如果查找成功則該導(dǎo)入符號的地址為:
sym_addr = s->st_value + lsi->load_bias;
3. 修正需要重定位的地址
根據(jù)重定位類型的不同，修正重定位地址，具體的重定位類型定義和計算方法可以參考 aaelf 文檔的 4.6.1.2 節(jié)。
對于導(dǎo)入符號，則使用根據(jù)第二步得到 sym_addr 去修正，對于 SO 內(nèi)部的相對偏移修正，則直接將reloc的地址加上 SO 的基址。
2.5 CallConstructors
在編譯 SO 時，可以通過鏈接選項-init或是給函數(shù)添加屬性__attribute__((constructor))來指定 SO 的初始化函數(shù)，這些初始化函數(shù)在 SO 裝載鏈接后便會被調(diào)用，再之后才會將 SO 的 soinfo 指針返回給 dl_open 的調(diào)用者。SO 層面的保護手段，有兩個介入點, 一個是 jni_onload, 另一個就是初始化函數(shù)，比如反調(diào)試、脫殼等，逆向分析時經(jīng)常需要動態(tài)調(diào)試分析這些初始化函數(shù)。
?
完成 SO 的裝載鏈接后，返回到 do_dlopen 函數(shù), do_open 獲得 find_library 返回的剛剛加載的 SO 的 soinfo，在將 soinfo 返回給其他模塊使用之前，最后還需要調(diào)用 soinfo 的成員函數(shù) CallConstructors。
soinfo* do_dlopen(const char* name, int flags, const Android_dlextinfo* extinfo) { ...soinfo* si = find_library(name, flags, extinfo);if (si != NULL) {si->CallConstructors();}return si; ... }CallConstructors 函數(shù)會調(diào)用 SO 的首先調(diào)用所有依賴的 SO 的 soinfo 的 CallConstructors 函數(shù)，接著調(diào)用自己的 soinfo 成員變量 init 和 看 init_array 指定的函數(shù)，這兩個變量在在解析 dynamic section 時賦值。
void soinfo::CallConstructors() {//如果已經(jīng)調(diào)用過，則直接返回if (constructors_called) {return;}// 調(diào)用依賴 SO 的 Constructors 函數(shù)get_children().for_each([] (soinfo* si) {si->CallConstructors();});// 調(diào)用 init_funcCallFunction("DT_INIT", init_func);// 調(diào)用 init_array 中的函數(shù)CallArray("DT_INIT_ARRAY", init_array, init_array_count, false); }有了以上分析基礎(chǔ)后，在需要動態(tài)跟蹤初始化函數(shù)時，我們就知道可以將斷點設(shè)在 do_dlopen 或是 CallConstructors。
3. 加殼技術(shù)
在病毒和版權(quán)保護領(lǐng)域，“殼”一直扮演著極為重要的角色。通過加殼可以對代碼進行壓縮和加密，同時再輔以虛擬化、代碼混淆和反調(diào)試等手段，達到防止靜態(tài)和動態(tài)分析。
在 Android 環(huán)境中，Native 層的加殼主要是針對動態(tài)鏈接庫 SO，SO 加殼的示意圖如下:
加殼工具、loader、被保護SO。
- SO: 即被保護的目標 SO。
- loader: 自身也是一個 SO，系統(tǒng)加載時首先加載 loader，loader 首先還原出經(jīng)過加密、壓縮、變換的 SO，再將 SO 加載到內(nèi)存，并完成鏈接過程，使 SO 可以正常被其他模塊使用。
- 加殼工具: 將被保護的 SO 加密、壓縮、變換，并將結(jié)果作為數(shù)據(jù)與 loader 整合為 packed SO。
下面對 SO 加殼的關(guān)鍵技術(shù)進行簡單介紹。
3.1 loader 執(zhí)行時機
Linker 加載完 loader 后，loader 需要將被保護的 SO 加載起來，這就要求 loader 的代碼需要被執(zhí)行，而且要在 被保護 SO 被使用之前，前文介紹了 SO 的初始化函數(shù)便可以滿足這個要求，同時在 Android 系統(tǒng)下還可以使用 JNI_ONLOAD 函數(shù)，因此 loader 的執(zhí)行時機有兩個選擇:
- SO 的 init 或 initarray
- jni_onload
3.2 loader 完成 SO 的加載鏈接
loader 開始執(zhí)行后，首先需要在內(nèi)存中還原出 SO，SO 可以是經(jīng)過加密、壓縮、變換等手段，也可已單純的以完全明文的數(shù)據(jù)存儲，這與 SO 加殼的技術(shù)沒有必要的關(guān)系，在此不進行討論。
在內(nèi)存中還原出 SO 后，loader 還需要執(zhí)行裝載和鏈接，這兩個過程可以完全模仿 Linker 來實現(xiàn)，下面主要介紹一下相對 Linker，loader 執(zhí)行這兩個過程有哪些變化。
3.2.1 裝載
還原后的 SO 在內(nèi)存中，所以裝載時的主要變化就是從文件裝載到從內(nèi)存裝載。
Linker 在裝載 PT_LAOD segment時，使用 SO 文件的描述符 fd：
按照 Linker 裝載，PT_LAOD segment時，需要分為兩步：
// 1、改用匿名映射void* seg_addr = mmap(reinterpret_cast<void*>(seg_page_start),file_length,PFLAGS_TO_PROT(phdr->p_flags),MAP_FIXED|MAP_PRIVATE,-1,0);// 2、將內(nèi)存中的 segment 復(fù)制到映射的內(nèi)存中memcpy(seg_addr+seg_page_offset, elf_data_buf + phdr->p_offset, phdr->p_filesz); 注意第2步復(fù)制 segment 時，目標地址需要加上 seg_page_offset，seg_page_offset 是 segment 相對與頁面起始地址的偏移。
其他的步驟基本按照 Linker 的實現(xiàn)即可，只需要將一些從文件讀取修改為從內(nèi)存讀取，比如讀 elfheader和program header時。
3.2.2 分配 soinfo
soinfo 保存了 SO 裝載鏈接和運行時需要的所有信息，為了維護相關(guān)的信息，loader 可以照搬 Linker 的 soinfo 結(jié)構(gòu)，用于存儲中間信息，裝載鏈接結(jié)束后，還需要將 soinfo 的信息修復(fù)到 Linker 維護的soinfo，3.3節(jié)進行詳細說明。
3.2.3 鏈接
鏈接過程完全是操作內(nèi)存，不論是從文件裝載還是內(nèi)存裝載，鏈接過程都是一樣，完全模仿 Linker 即可。
另外鏈接后記得順便調(diào)用 SO 初始化函數(shù)( init 和 init_array )。
3.3 soinfo 修復(fù)
SO 加殼的最關(guān)鍵技術(shù)點在于 soinfo 的修復(fù)，由于 Linker 加載的是 loader，而實際對外使用的是被保護的 SO，所以 Linker 維護的 soinfo 可以說是錯誤，loader 需要將自己維護的 soinfo 中的部分信息導(dǎo)出給 Linker 的soinfo。
修復(fù)過程如下：
- SO地址范圍：base、size、load_bias
- 符號信息:sym_tab、str_tab、
- 符號查找信息：nbucket、nchain、bucket、chain
- 異常處理：ARM_exidx、ARM_exidx_count
參考
- <<Linkers and loaders>>
- <<ELF for the ARM Architecture>>
?
?
原文地址：http://yaq.qq.com/blog/15
與50位技術(shù)專家面對面20年技術(shù)見證，附贈技術(shù)全景圖總結(jié)
以上是生活随笔為你收集整理的AndroidLinker与SO加壳技术之下篇的全部內(nèi)容，希望文章能夠幫你解決所遇到的問題。
- 上一篇： AndroidLinker与SO加壳技术
- 下一篇： Google Project Zero挖