Die vorige program het 9 programkoppe, dan dui die segmentkaart aan in watter programkop (van 00 tot 08) elke afdeling geleë is.
PHDR - Programkop
Bevat die programkop tabel en metadata self.
INTERP
Dui die pad van die laaier aan wat gebruik moet word om die binêre in geheue te laai.
LOAD
Hierdie koppe word gebruik om aan te dui hoe om 'n binêre in geheue te laai.
Elke LOAD kop dui 'n gebied van geheue (grootte, toestemmings en uitlijning) aan en dui die bytes van die ELF binêre aan om daar te kopieer.
Byvoorbeeld, die tweede het 'n grootte van 0x1190, moet geleë wees by 0x1fc48 met toestemmings lees en skryf en sal gevul word met 0x528 vanaf die offset 0xfc48 (dit vul nie al die gereserveerde ruimte nie). Hierdie geheue sal die afdelings .init_array .fini_array .dynamic .got .data .bss bevat.
DYNAMIC
Hierdie kop help om programme aan hul biblioteekafhanklikhede te koppel en herlokasies toe te pas. Kyk na die .dynamic afdeling.
NOTE
Dit stoor verskaffer metadata-inligting oor die binêre.
GNU_EH_FRAME
Definieer die ligging van die stapel ontrafel tafels, wat deur debuggers en C++ uitsondering hantering-runtime funksies gebruik word.
GNU_STACK
Bevat die konfigurasie van die stapel uitvoeringsvoorkoming verdediging. As geaktiveer, sal die binêre nie in staat wees om kode vanaf die stapel uit te voer nie.
GNU_RELRO
Dui die RELRO (Herlokasie Lees-Alleen) konfigurasie van die binêre aan. Hierdie beskerming sal sekere afdelings van die geheue (soos die GOT of die init en fini tafels) as lees-alleen merk nadat die program gelaai is en voordat dit begin loop.
In die vorige voorbeeld kopieer dit 0x3b8 bytes na 0x1fc48 as lees-alleen wat die afdelings .init_array .fini_array .dynamic .got .data .bss beïnvloed.
Let daarop dat RELRO gedeeltelik of volledig kan wees, die gedeeltelike weergawe beskerm nie die afdeling .plt.got nie, wat gebruik word vir luie binding en hierdie geheue ruimte benodig om skryftoestemmings te hê om die adres van die biblioteke die eerste keer te skryf wanneer hul ligging gesoek word.
TLS
Definieer 'n tabel van TLS inskrywings, wat inligting oor draad-lokale veranderlikes stoor.
Afdelingkoppe
Afdelingkoppe bied 'n meer gedetailleerde oorsig van die ELF binêre.
It also indicates the location, offset, permissions but also the type of data it section has.
Meta Sections
String table: Dit bevat al die strings wat deur die ELF-lêer benodig word (maar nie die wat werklik deur die program gebruik word nie). Byvoorbeeld, dit bevat seksienaam soos .text of .data. En as .text op offset 45 in die strings table is, sal dit die nommer 45 in die name veld gebruik.
In orde om te vind waar die string table is, bevat die ELF 'n wysiger na die string table.
Symbol table: Dit bevat inligting oor die simbole soos die naam (offset in die strings table), adres, grootte en meer metadata oor die simbool.
Main Sections
.text: Die instruksie van die program om uit te voer.
.data: Globale veranderlikes met 'n gedefinieerde waarde in die program.
.bss: Globale veranderlikes wat nie geïnitialiseer is nie (of geïnitialiseer na nul). Veranderlikes hier word outomaties na nul geïnitialiseer, wat voorkom dat nuttelose nulles by die binêre gevoeg word.
.tdata en .tbss: Soos die .data en .bss wanneer thread-lokale veranderlikes gebruik word (__thread_local in C++ of __thread in C).
.dynamic: Sien hieronder.
Symbols
Symbols is 'n benoemde ligging in die program wat 'n funksie, 'n globale data objek, thread-lokale veranderlikes... kan wees.
readelf -s lnstat
Symbol table '.dynsym' contains 49 entries:
Num: Value Size Type Bind Vis Ndx Name
0: 0000000000000000 0 NOTYPE LOCAL DEFAULT UND
1: 0000000000001088 0 SECTION LOCAL DEFAULT 12 .init
2: 0000000000020000 0 SECTION LOCAL DEFAULT 23 .data
3: 0000000000000000 0 FUNC GLOBAL DEFAULT UND strtok@GLIBC_2.17 (2)
4: 0000000000000000 0 FUNC GLOBAL DEFAULT UND s[...]@GLIBC_2.17 (2)
5: 0000000000000000 0 FUNC GLOBAL DEFAULT UND strlen@GLIBC_2.17 (2)
6: 0000000000000000 0 FUNC GLOBAL DEFAULT UND fputs@GLIBC_2.17 (2)
7: 0000000000000000 0 FUNC GLOBAL DEFAULT UND exit@GLIBC_2.17 (2)
8: 0000000000000000 0 FUNC GLOBAL DEFAULT UND _[...]@GLIBC_2.34 (3)
9: 0000000000000000 0 FUNC GLOBAL DEFAULT UND perror@GLIBC_2.17 (2)
10: 0000000000000000 0 NOTYPE WEAK DEFAULT UND _ITM_deregisterT[...]
11: 0000000000000000 0 FUNC WEAK DEFAULT UND _[...]@GLIBC_2.17 (2)
12: 0000000000000000 0 FUNC GLOBAL DEFAULT UND putc@GLIBC_2.17 (2)
[...]
Elke simboolinvoer bevat:
Naam
Bindattribuut (swak, plaaslik of globaal): 'n Plaaslike simbool kan slegs deur die program self toeganklik wees terwyl die globale simbool buite die program gedeel word. 'n Swak objek is byvoorbeeld 'n funksie wat deur 'n ander oorgeskryf kan word.
Tipe: NOTYPE (geen tipe gespesifiseer), OBJECT (globale datavariabele), FUNC (funksie), SECTION (afdeling), FILE (bronkode-lêer vir debuggers), TLS (draad-lokale variabele), GNU_IFUNC (indirekte funksie vir herlokasie)
Die NEEDED-gids dui aan dat die program nodig het om die genoemde biblioteek te laai om voort te gaan. Die NEEDED-gids is voltooi sodra die gedeelde biblioteek ten volle funksioneel en gereed is vir gebruik.
Relokasies
Die laaier moet ook afhanklikhede relokeer nadat dit gelaai is. Hierdie relokasies word in die relokasietabel in die formate REL of RELA aangedui en die aantal relokasies word in die dinamiese afdelings RELSZ of RELASZ gegee.
As die program in 'n ander plek gelaai word as die verkiesde adres (gewoonlik 0x400000) omdat die adres reeds gebruik word of as gevolg van ASLR of enige ander rede, sal 'n statiese herlokasie pointers regstel wat waardes gehad het wat verwag het dat die binêre in die verkiesde adres gelaai word.
Byvoorbeeld, enige afdeling van tipe R_AARCH64_RELATIV moet die adres by die herlokasiebias plus die addendwaarde gewysig het.
Dinamiese Herlokasies en GOT
Die herlokasie kan ook 'n eksterne simbool verwys (soos 'n funksie van 'n afhanklikheid). Soos die funksie malloc van libC. Dan, wanneer die laaier libC in 'n adres laai, sal dit kyk waar die malloc-funksie gelaai is, en hierdie adres in die GOT (Global Offset Table) tabel (aangegee in die herlokasietabel) skryf waar die adres van malloc gespesifiseer moet word.
Prosedure Koppelingstabel
Die PLT-afdeling maak dit moontlik om lui binding uit te voer, wat beteken dat die resolusie van die ligging van 'n funksie die eerste keer wat dit toeganklik is, uitgevoer sal word.
So wanneer 'n program na malloc roep, roep dit eintlik die ooreenstemmende ligging van malloc in die PLT (malloc@plt). Die eerste keer wat dit geroep word, los dit die adres van malloc op en stoor dit sodat die volgende keer dat malloc geroep word, daardie adres gebruik word in plaas van die PLT-kode.
Program Inisialiserings
Nadat die program gelaai is, is dit tyd vir dit om te loop. egter, die eerste kode wat uitgevoer word is nie altyd die main funksie nie. Dit is omdat byvoorbeeld in C++ as 'n globale veranderlike 'n objek van 'n klas is, moet hierdie objek geïnitialiseerwordvoordat main loop, soos in:
Let wel dat hierdie globale veranderlikes in .data of .bss geleë is, maar in die lyste __CTOR_LIST__ en __DTOR_LIST__ word die voorwerpe om te inisialiseer en te vernietig gestoor om hulle dop te hou.
Van C-kode af is dit moontlik om dieselfde resultaat te verkry deur die GNU-uitbreidings:
__attributte__((constructor)) //Add a constructor to execute before__attributte__((destructor)) //Add to the destructor list
From a compiler perspective, om hierdie aksies voor en na die main funksie uitgevoer word, is dit moontlik om 'n init funksie en 'n fini funksie te skep wat in die dinamiese afdeling as INIT en FIN verwys sal word. en word in die init en fini afdelings van die ELF geplaas.
Die ander opsie, soos genoem, is om die lyste __CTOR_LIST__ en __DTOR_LIST__ in die INIT_ARRAY en FINI_ARRAY inskrywings in die dinamiese afdeling te verwys en die lengte hiervan word aangedui deur INIT_ARRAYSZ en FINI_ARRAYSZ. Elke inskrywing is 'n funksie-aanwyser wat sonder argumente aangeroep sal word.
Boonop is dit ook moontlik om 'n PREINIT_ARRAY te hê met aanwysers wat voor die INIT_ARRAY aanwysers uitgevoer sal word.
Inisialiseringsorde
Die program word in geheue gelaai, statiese globale veranderlikes word in .data geïnitialiseer en ongeïnitialiseerde word op nul gestel in .bss.
Alle afhanklikhede vir die program of biblioteke word geïnitialiseer en die dinamiese koppel word uitgevoer.
PREINIT_ARRAY funksies word uitgevoer.
INIT_ARRAY funksies word uitgevoer.
As daar 'n INIT inskrywing is, word dit aangeroep.
As 'n biblioteek is, eindig dlopen hier, as 'n program, is dit tyd om die werklike toegangspunt (main funksie) aan te roep.
Draad-Lokale Berging (TLS)
Hulle word gedefinieer met die sleutelwoord __thread_local in C++ of die GNU uitbreiding __thread.
Elke draad sal 'n unieke ligging vir hierdie veranderlike handhaaf sodat slegs die draad toegang tot sy veranderlike kan hê.
Wanneer dit gebruik word, word die afdelings .tdata en .tbss in die ELF gebruik. Wat soos .data (geïnitialiseerd) en .bss (nie geïnitialiseerd) is, maar vir TLS.
Elke veranderlike sal 'n inskrywing in die TLS kop hê wat die grootte en die TLS offset spesifiseer, wat die offset is wat dit in die draad se plaaslike data area sal gebruik.
Die __TLS_MODULE_BASE is 'n simbool wat gebruik word om na die basisadres van die draad-lokale berging te verwys en wys na die area in geheue wat al die draad-lokale data van 'n module bevat.
HackTricks Opleiding AWS Red Team Expert (ARTE)
HackTricks Opleiding GCP Red Team Expert (GRTE)