Pwn 学习 plt和got表

1.简介plt和got

plt

PLT : 程序链接表（PLT，Procedure Link Table）

GOT

GOT : 全局偏移表（GOT, Global Offset Table）

• 此处不对概念做解释了
• 可以点击查看大佬的介绍
• 在此我以初学者的角度认识plt和got
  点击跳转
  点击跳转

2.保护机制

• 开启RELRO

在前面描述的漏洞攻击中曾多次引入了GOT覆盖方法，GOT覆盖之所以能成功是因为默认编译的应用程序的重定位表段对应数据区域是可写的（如got.plt），这与链接器和加载器的运行机制有关，默认情况下应用程序的导入函数只有在调用时才去执行加载（所谓的懒加载，非内联或显示通过dlxxx指定直接加载），如果让这样的数据区域属性变成只读将大大增加安全性。RELRO（read only relocation）是一种用于加强对 binary 数据段的保护的技术，大概实现由linker指定binary的一块经过dynamic linker处理过 relocation之后的区域为只读，设置符号重定向表格为只读或在程序启动时就解析并绑定所有动态符号，从而减少对GOT（Global Offset Table）攻击。RELRO 分为 partial relro 和 full relro。

• Partial RELRO

现在gcc 默认编译就是 partial relro
some sections(.init_array .fini_array .jcr .dynamic .got) are marked as read-only after they have been initialized by the dynamic loader
non-PLT GOT is read-only (.got)
GOT is still writeable (.got.plt)

• Full RELRO

拥有 Partial RELRO 的所有特性
lazy resolution 是被禁止的，所有导入的符号都在 startup time 被解析
bonus: the entire GOT is also (re)mapped as read-only or the .got.plt section is completely initialized with the final addresses of the target functions (Merge .got and .got.plt to one section .got). Moreover,since lazy resolution is not enabled, the GOT[1] and GOT[2] entries are not initialized. GOT[0] is a the address of the module’s DYNAMIC section. GOT[1] is the virtual load address of the link_map, GOT[2] is the address for the runtime resolver function。

• 简单地说 FULL RELRO会导致GOT表完全不可写

3.执行顺序

• 在函数调用时，程序会call plt表中的地址
• plt表会jmp got表的地址
• 如果是partial RELRO
• 并且程序是初次执行
• 那么got表会把现在的地址给plt表项的后六个字节
• 这个时候plt表得知got表没有自己想要jmp的地址，转身亲自去找需要跳转的地址
• 找到之后plt表会执行两步操作
• 第一步就是把找到的跳转地址给got表项
• 然后plt跳转找到的地址
• 成功执行call命令
• 如果是第二次执行同样的call命令
• 那么plt跳转got后
• got继续跳转上次保存的地址
• 以上就是plt和got要做的工作
• 简单地说就是plt偷懒找got要地址，结果got告诉plt他也没有，然后plt自己去找，找到了复制给got，方便下一次使用