PLT Hook基本原理

最近经常用到PLT hook，接下来几篇文章，给大家介绍一下PLT hook的原理、使用、案例、以及一些注意事项。

今天是第一篇，先来介绍一下PLT Hook的基本原理。

ELF：Executable and Linkable Format

动态链接库就是ELF格式的文件，要搞清楚PLT Hook的原理，首先要了解ELF文件格式。

ELF分为连接视图和执行视图。

PLT Hook是运行中修改内存中的数据，所以我们主要关心的是执行视图。

linker依据ELF文件执行视图中的信息，用mmap将ELF加载到内存中，执行relocation将外部引用的绝对地址填入GOT表和DATA中。

PLT Hook的执行时机，是在linker将ELF加载到内存之后。Hook的原理，是解析内存中的ELF数据，修改relocation结果。

1. 装载

使用System.loadLibrary的方式，加载目标共享库，内部其实也是调用linker中的dlopen、dlsym、dlclose函数对目标共享库进行装载。

2. 动态链接

动态链接的基本思想是把程序按照模块拆分成各个相对独立部分，在程序运行时才将它们链接在一起。当共享库被装载的时候，动态链接器linkder会将共享库装载到进程的地址空间，并且将程序中的符号绑定到动态链接库中，进行重定位工作。

3. 重定位

共享库需要重定位的主要原因是导入符号的存在。动态链接下，一旦依赖于其他共享对象，就会有导入符号。这些导入符号在编译的时候是未知的，只有在运行的时候才确定，所以需要就这些导入符号的引入进行修正，即进行重定位。

PLT Hook的原理，就是改变导入符号重定位的结果。

linkder在加载ELF时的最主要工作是relocation，这个过程的目的是为当前ELF的每个“导入符号”找到对应的外部符号（函数或数据）的绝对地址。

这些地址会写在以下几个地方：

要完成 relocation 过程，需要依赖于 ELF 中的以下信息：

.rel.plt，.rela.plt：用于关联 .dynsym 和 .got.plt。这就是我们经常会听到的 “PLT 表”。
.rel.dyn，.rela.dyn，.rel.dyn.aps2，.rela.dyn.aps2：用于关联 .dynsym 和 .data，.data.rel.ro。

relocation完成后的函数调用关系如下：

由上面的分析可知，当我们调用某个函数的时候，并不是直接调用函数的地址，而是经过PLT表，跳转到GOT表，获取目标函数的全局偏移。这个时候就可以通过基址+偏移的方式。定位到真正的函数地址。

PLT Hook就是改变了原来的relocation后的地址。主要流程：