Mach-O的动态链接相关知识

最新推荐文章于 2022-11-18 22:17:02 发布

Omni-Space

最新推荐文章于 2022-11-18 22:17:02 发布

阅读量720

点赞数

分类专栏： OS X 文章标签： Mach-o OS X

OS X 专栏收录该内容

2 篇文章 0 订阅

订阅专栏

0x00 摘要

通过分析Mach-O的动态链接过程，加深对Mach-O文件结构的理解。对Mach-O文件格式的简单的分析看这里这里。

0x01 Mach-O Lazy Bind

Mach-O文件的通过dyld加载的时候并没有确定每一个函数的具体地址在哪里，而是在真正调用该函数的时候通过过程连接表(procedure linkage table)，后面简称PLT，来进行一次lazybind。

结合Mach-O文件的分析与代码的调试简单的分析一下，只能算是管中窥豹了。

源码很简单。

#include <stdio.h>

int main(int argc, const char * argv[]) {
    // insert code here...
    printf("Hello, World!\n");
  	printf("2Hello, World!\n");
    return 0;
}

分别在两个printf函数处下断点，启动程序。

1.1 第一次调用prinf

lazy_bind`main:
    0x100000f10 <+0>:  pushq  %rbp
    0x100000f11 <+1>:  movq   %rsp, %rbp
    0x100000f14 <+4>:  subq   $0x20, %rsp
    0x100000f18 <+8>:  leaq   0x57(%rip), %rax          ; "Hello, World!\n"
    0x100000f1f <+15>: movl   $0x0, -0x4(%rbp)
    0x100000f26 <+22>: movl   %edi, -0x8(%rbp)
    0x100000f29 <+25>: movq   %rsi, -0x10(%rbp)
    0x100000f2d <+29>: movq   %rax, %rdi
    0x100000f30 <+32>: movb   $0x0, %al
->  0x100000f32 <+34>: callq  0x100000f56               ; symbol stub for: printf
    0x100000f37 <+39>: leaq   0x47(%rip), %rdi          ; "2Hello, World!\n"
    0x100000f3e <+46>: movl   %eax, -0x14(%rbp)
    0x100000f41 <+49>: movb   $0x0, %al
    0x100000f43 <+51>: callq  0x100000f56               ; symbol stub for: printf
    0x100000f48 <+56>: xorl   %ecx, %ecx
    0x100000f4a <+58>: movl   %eax, -0x18(%rbp)
    0x100000f4d <+61>: movl   %ecx, %eax
    0x100000f4f <+63>: addq   $0x20, %rsp
    0x100000f53 <+67>: popq   %rbp
    0x100000f54 <+68>: retq

在0x100000f52 <+34>行处通过callq 0x100000f64来调用printf。

执行callq指令之后代码跳转到这里：

1 2	lazy_bind`printf: -> 0x100000f56 <+0>: jmpq 0xb4(%rip) ; (void )0x0000000100000f6c

1.2 Data,la_symbol_ptr 获取函数地址

这里的jmpq要跳转到0x0000000100000f6c这个地址是从__Data,__la_symbol_ptr中的Lazy Symbol Pointers中获取到的。(怎么来的不是很清楚？)希望通过stub来调用printf函数。

通过命令行查看0x100001010处的地址获得了同样的值。

1
2
3

(lldb) x 0x100001010
0x100001010: 6c 0f 00 00 01 00 00 00 00 00 00 00 00 00 00 00  l...............
0x100001020: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00  ................

1.3 通过stubhelper进行lazybind

在Mach-O中每一个Symbol Stub可能有以下两种行为其中之一：

跳转到函数的指令，执行函数体
通过动态链接器查找函数的Symbol(符号)，然后执行函数。

通过工具查看__stubs的Section数据，发现只有一个函数就是_printf。

这里的Data其实就是上面看到的jmpq代码。执行之后代码跳转到了这样的代码片段。

->  0x100000f6c: pushq  $0x0
    0x100000f71: jmp    0x100000f5c
    0x100000f76: gs     				;这里往下都没有！！！！
    0x100000f78: insb   %dx, %es:(%rdi)
    0x100000f79: insb   %dx, %es:(%rdi)
    0x100000f7a: outsl  (%rsi), %dx
    0x100000f7b: subb   $0x20, %al
    0x100000f7d: pushq  %rdi
    0x100000f7e: outsl  (%rsi), %dx
    0x100000f7f: jb     0x100000fed
    0x100000f81: andl   %ecx, %fs:(%rdx)
    0x100000f84: addb   %dh, (%rdx)
    0x100000f86: gs     
    0x100000f88: insb   %dx, %es:(%rdi)
    0x100000f89: insb   %dx, %es:(%rdi)
    0x100000f8a: outsl  (%rsi), %dx

这里就是通过_stub_helper来调用dyld_stubbinder函数来计算printf函数的真实地址。通过下面的\_TEXT,__stub_helper具体信息可以看出，jmpq 0x100000f5c,就是在压入参数0x0(函数的link的时候给的编号)之后跳转到Section的起始处，调用了binder。

binder是一块汇编代码。这里就不做解释了。作用就是计算具体的函数地址，并调用printf。

1.4 第二次调用printf函数

这个释放断点，程序将在调用第二个printf函数的地方停下来。

lazy_bind`main:
    0x100000f10 <+0>:  pushq  %rbp
    0x100000f11 <+1>:  movq   %rsp, %rbp
    0x100000f14 <+4>:  subq   $0x20, %rsp
    0x100000f18 <+8>:  leaq   0x57(%rip), %rax          ; "Hello, World!\n"
    0x100000f1f <+15>: movl   $0x0, -0x4(%rbp)
    0x100000f26 <+22>: movl   %edi, -0x8(%rbp)
    0x100000f29 <+25>: movq   %rsi, -0x10(%rbp)
    0x100000f2d <+29>: movq   %rax, %rdi
    0x100000f30 <+32>: movb   $0x0, %al
    0x100000f32 <+34>: callq  0x100000f56               ; symbol stub for: printf
    0x100000f37 <+39>: leaq   0x47(%rip), %rdi          ; "2Hello, World!\n"
    0x100000f3e <+46>: movl   %eax, -0x14(%rbp)
    0x100000f41 <+49>: movb   $0x0, %al
->  0x100000f43 <+51>: callq  0x100000f56               ; symbol stub for: printf
    0x100000f48 <+56>: xorl   %ecx, %ecx
    0x100000f4a <+58>: movl   %eax, -0x18(%rbp)
    0x100000f4d <+61>: movl   %ecx, %eax
    0x100000f4f <+63>: addq   $0x20, %rsp
    0x100000f53 <+67>: popq   %rbp
    0x100000f54 <+68>: retq

执行指令之后发现和第一次调用printf已经不一样了。

1 2	lazy_bind`printf: -> 0x100000f56 <+0>: jmpq 0xb4(%rip) ; (void )0x00007fff96b1815c: printf

通过指令再一次查看0x100001010处的内存值。

1
2
3

(lldb) x 0x100001010
0x100001010: 5c 81 b1 96 ff 7f 00 00 00 00 00 00 00 00 00 00  \...............
0x100001020: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00  ................