GOT表和PLT表知识详解

GOTGOT表和PLTPLT表在程序中的作用非常巨大，接下来的讲解希望大家可以仔细看看

我们用一个非常简单的例子来讲解，代码如下: 
图1

然后我们编译

我们直接gdb./a.outgdb./a.out来进行反编译处理，然后通过disasmaindisasmain查看mainmain函数中的反编译代码如下：

图3

我们可以观察到gets@pltgets@plt和puts@pltputs@plt这两个函数，为什么后面加了个@plt@plt，因为这个为PLTPLT表中的数据的地址。那为什么反编译中的代码地址为PLTPLT表中的地址呢。

原因
为了更好的用户体验和内存CPUCPU的利用率，程序编译时会采用两种表进行辅助，一个为PLTPLT表，一个为GOTGOT表，PLTPLT表可以称为内部函数表，GOTGOT表为全局函数表（也可以说是动态函数表这是个人自称），这两个表是相对应的，什么叫做相对应呢，PLTPLT表中的数据就是GOTGOT表中的一个地址，可以理解为一定是一一对应的，如下图：

图4

PLTPLT表中的每一项的数据内容都是对应的GOTGOT表中一项的地址这个是固定不变的，到这里大家也知道了PLTPLT表中的数据根本不是函数的真实地址，而是GOTGOT表项的地址，好坑啊。

其实在大家进入带有@plt@plt标志的函数时，这个函数其实就是个过渡作用，因为GOTGOT表项中的数据才是函数最终的地址，而PLTPLT表中的数据又是GOTGOT表项的地址，我们就可以通过PLTPLT表跳转到GOTGOT表来得到函数真正的地址。

那问题来了，这个@plt@plt函数时怎么来的，这个函数是编译系统自己加的，大家可以通过disas gets看看里面的代码，如下图：

图5

大家可以发现，这个函数只有三行代码，第一行跳转，第二行压栈，第三行又是跳转，解释： 
第一行跳转，它的作用是通过PLTPLT表跳转到GOTGOT表，而在第一次运行某一个函数之前，这个函数PLTPLT表对应的GOTGOT表中的数据为@plt@plt函数中第二行指令的地址，针对图中来说步骤如下：

jmpjmp指令跳转到GOTGOT表
GOTGOT表中的数据为0x4004860x400486
跳转到指令地址为0x4004860x400486
执行push 0x3#这个为在GOTGOT中的下标序号
在执行jmp 0x400440
而0x4004400x400440为PLT[0]PLT[0]的地址
PLT[0]PLT[0]的指令会进入动态链接器的入口
执行一个函数将真正的函数地址覆盖到GOTGOT表中
这里我们要提几个问题： 
1. PLT[0]PLT[0]处到底做了什么，按照我们之前的思路它不是应该跳转到GOT[0]GOT[0]吗？ 
2. 为什么中间要进行pushpush压栈操作？ 
3. 压入的序号为什么为0x30x3，不是最开始应该为0x00x0吗？

解决问题
问题1

看下图： 
图6

我们尝试着查看0x4004400x400440地址的数据内容发现一个问题，从0x400440−0x4004500x400440−0x400450之间的数据完全不知道是什么，而真正的PLT[x]PLT[x]中的数据是从0x4004500x400450开始的，从这里才有了@plt@plt为后缀的地址，但是我们disas gets看代码的时候是从0x4004400x400440开始的，我们可以通过x /5i 0x400440查看0x4004400x400440处的代码，如下： 
图7

我们看到了后面的#之后又一个1616进制数，一看便可以知道是GOTGOT表的地址，为什么这么肯定呢，因为我们可以通过objdump -R ./a.out查看一个程序的GOTGOT函数的地址，如下图： 
图8

这里都是些GOTGOT地址，我们发现都是0x601...0x601...这些，所以可以断定图77中的也是GOTGOT地址，那么我们可以猜想出，在正式存储一个函数的GOTGOT地址前，我们的PLTPLT表前面有一项进行一些处理，我们暂且不具体深入剖析这些代码有什么用，但是我们可以肯定puts@pltputs@plt前面那1616个字节也算是PLTPLT表中的内容，这其实就是我们的PLT[0]PLT[0]，正如我们之前问题提到的那样，我们的PLT[0]PLT[0]根本没有跳转到GOT[0]GOT[0]，它不像我们的PLT[1]PLT[1]这些存储的是GOTGOT表项的地址，它是一些代码指令，换句话说，PLT[0]PLT[0]是一个函数，这个函数的作用是通过GOT[1]GOT[1]和GOT[2]GOT[2]来正确绑定一个函数的正式地址到GOTGOT表中来。

咦，这里问题好像又产生了，本来按照最开始的思路PLT[1]PLT[1]也是跳转到GOT[1]GOT[1]的，GOT[2]GOT[2]同理，但是这两个数据好像被PLT[0]PLT[0]利用了，同时GOT[0]GOT[0]好像消失了，这里GOT[0]GOT[0]暂且不说它的作用是什么，针对GOT[1]GOT[1]和GOT[2]GOT[2]被PLT[0]PLT[0]利用，所以我们程序中真实情况其实是从PLT[1]PLT[1]到GOT[3]GOT[3],PLT[2]PLT[2]到GOT[4]GOT[4]，所以我们推翻了我们的图44，建立一张新的处理表

图9

而plt[0]plt[0]代码做的事情则是：由于GOT[2]GOT[2]中存储的是动态链接器的入口地址，所以通过GOT[1]GOT[1]中的数据作为参数，跳转到GOT[2]GOT[2]所对应的函数入口地址，这个动态链接器会将一个函数的真正地址绑定到相应的GOT[x]GOT[x]中。

这就是PLTPLT表和GOTGOT表，总而言之，我们调用一个函数的时候有两种方法，一个是通过PLTPLT表调用，一个则是通过GOTGOT表调用，因为PLTPLT表最终也是跳转GOTGOT表，GOTGOT表中则是一个函数真正的地址，这里需要注意的是，在一个函数没有运行一次之前，GOTGOT表中的数据为@plt@plt函数中下一条指令的地址，图55有说。

问题2

中间进行的压栈是为了确定PLTPLT对应的GOTGOT表项，即是PLT[1]−>GOT[3]PLT[1]−>GOT[3]，0x30x3就是GOTGOT的下标33，也就是说压栈后我们跳转到PLT[0]PLT[0],接着PLT[0]PLT[0]中的指令会通过这次压栈的序号来确定操作的GOTGOT表项为多少

问题3

好像都在第一个问题都已经解决了，这里压入0x30x3的原因是因为，我们的GOT[0]GOT[0],GOT[1]GOT[1],GOT[2]GOT[2]都有额外用处。要从GOT[3]GOT[3]开始

————————————————
版权声明：本文为CSDN博主「77458」的原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接及本声明。
原文链接：https://blog.csdn.net/qq_18661257/article/details/54694748