ELF文件加密相关

最新推荐文章于 2021-07-12 15:02:44 发布

西子云齐

最新推荐文章于 2021-07-12 15:02:44 发布

阅读量1.7k

点赞数

分类专栏：安卓

安卓专栏收录该内容

11 篇文章 0 订阅

订阅专栏

一、概述
动态链接库能对抗逆向，由于IDA的存在，还需要对核心部分加密。.so加密有两种：1.无源码：类似可执行文件的加壳，需要对文件进行分析，在合适的地方插入解密代码2.有源码：可以构造解密代码并让解密过程在.so被加载时完成。
下文分析有源码的情况，包含对elf header的分析以及基于特定section和特定函数的加解密实现。
二、so（ELF）头分析
ELF头的各个字段：
typedef struct {
unsigned char e_ident; /* File identification. */
Elf32_Half e_type; /* File type. */
Elf32_Half e_machine; /* Machine architecture. */
Elf32_Word e_version; /* ELF format version. */
Elf32_Addr e_entry; /* Entry point. */
Elf32_Off e_phoff; /* 段头偏移. */
Elf32_Off e_shoff; /* 节头偏移. */
Elf32_Word e_flags; /* Architecture-specific flags. */
Elf32_Half e_ehsize; /* elf头字节数. */
Elf32_Half e_phentsize; /* 段头入口大小. */
Elf32_Half e_phnum; /* 段头数. */
Elf32_Half e_shentsize; /* 节头入口大小. */
Elf32_Half e_shnum; /* 节头数. */
Elf32_Half e_shstrndx; /This member holds the section header table index of the entry associated with the section name string table. /
} Elf32_Ehdr;
节信息和链接视图有关，段信息和装载视图有关。

节头表提供链接器链接符号的重要信息，属于链接视图；而段表是链接完生成可执行文件和动态库后才有的，在被加载和执行的时候用到，属于加载视图。因此可执行文件和动态库肯定包含段表，可以不包含节头表，但一般都有，readelf和objdump这类工具都是通过读取节头表的信息来实现的。另外，段是按照可读、可写和可执行这类的权限把节进行归类，相同权限的分为一段，所以一个段包含一个或多个节，整个ELF文件就这么划分。
这里加一句，一般段表在ELF文件中的位置是紧接着ELF头的位置，而节头表是在ELF文件的末尾。
我的理解：节区通过链接生成可执行的段，如果之后还有节信息就依据权限归类分到不同的段以备下一次链接生成。节链接生成段，所以链接视图必须有节，而执行视图执行的就是段必须有段。如果还需要继续链接则还有节。链接必有节，执行必有段；段紧挨elf头，节在elf尾。
所以，e_phoff = sizeof(e_ehsize);
整个ELF文件大小 = e_shoff + e_shnum * sizeof(e_shentsize) + 1
e_shstrndx字段的值跟strip有关。Strip之前：.shstrtab 并不是最后一个section.则 e_shstrndx = e_shnum – 1 – 2;

而经过strip之后，动态链接库末尾的.symtab和.strtab这两个section会被去掉. 则e_shstrndx = e_shnum – 1。

e_shstrndx字段的值就是.shstrtab的索引。
图片链接和图片上传
LaTex数学公式
UML序列图和流程图
离线写博客
导入导出Markdown文件
丰富的快捷键

快捷键

加粗 Ctrl + B
斜体 Ctrl + I
引用 Ctrl + Q
插入链接 Ctrl + L
插入代码 Ctrl + K
插入图片 Ctrl + G
提升标题 Ctrl + H
有序列表 Ctrl + O
无序列表 Ctrl + U
横线 Ctrl + R
撤销 Ctrl + Z
重做 Ctrl + Y

Markdown及扩展

Markdown 是一种轻量级标记语言，它允许人们使用易读易写的纯文本格式编写文档，然后转换成格式丰富的HTML页面。 —— [ 维基百科 ]

使用简单的符号标识不同的标题，将某些文字标记为粗体或者斜体，创建一个链接等，详细语法参考帮助？。

本编辑器支持 Markdown Extra , 　扩展了很多好用的功能。具体请参考Github.

表格

Markdown　Extra　表格语法：

项目	价格
Computer	$1600
Phone	$12
Pipe	$1

可以使用冒号来定义对齐方式：

项目	价格	数量
Computer	1600 元	5
Phone	12 元	12
Pipe	1 元	234

定义列表

Markdown　Extra　定义列表语法：项目１项目２

定义 A

定义 B

项目３

定义 C

定义 D

定义D内容

代码块

代码块语法遵循标准markdown代码，例如：

@requires_authorization
def somefunc(param1='', param2=0):
    '''A docstring'''
    if param1 > param2: # interesting
        print 'Greater'
    return (param2 - param1 + 1) or None
class SomeClass:
    pass
>>> message = '''interpreter
... prompt'''