Pwn 基础 on RatherHard の Blog

plt 和 got

Mon, 29 Dec 2025 14:29:00 +0000

在 Linux ELF 文件和动态链接机制中，这四个段（Section）共同协作，实现了位置无关代码（PIC）和延迟绑定（Lazy Binding）。

虽然它们名字很像，但功能和权限有着本质区别。我们可以将其分为两类：PLT 类（代码/执行） 和 GOT 类（数据/读写）。

1. .plt (Procedure Linkage Table - 过程链接表)

属性：代码段（权限：读取+执行 R-X）。
作用：它包含了一系列小的可执行代码片段（Stub）。
功能：当程序调用一个外部函数（如 printf）时，它实际上并不是直接跳到 printf 的地址（因为在编译阶段不知道地址），而是跳到 .plt 段中对应的条目。
内容：
- 第一项是特殊项，负责调用动态链接器的符号解析函数。
- 后续每一项对应一个外部函数，代码逻辑通常是：jmp *(.got.plt中的对应项)。

2. .got (Global Offset Table - 全局偏移表)

属性：数据段（权限：读取+写入 RW-）。
作用：用于存储全局变量的绝对地址。
功能：程序在引用全局变量时，会先到 .got 中查找该变量的真实地址。
为什么需要：为了实现位置无关代码（PIC），代码段不包含变量的绝对地址，只包含到 .got 的相对偏移。动态链接器在程序启动时会将变量的真实地址填入 .got。

3. .got.plt (GOT 的 PLT 部分)

属性：数据段（权限：读取+写入 RW-，但在 Full RELRO 下为 R--）。
作用：它是 .got 的一个子集，专门用于存储外部函数的绝对地址。
与 .plt 的配合：
- 在延迟绑定（Lazy Binding）模式下：.got.plt 的初始内容指向 .plt 中的下一条指令（即“跳回 PLT”）。当函数第一次被调用时，动态链接器解析出真实地址并覆盖掉这个值。
- 在第二次调用时：.plt 里的 jmp 就会直接跳到 .got.plt 中存储的真实地址，不再进入链接器。
特殊项：前三项通常预留给动态链接器的私有信息（如 link_map 结构和 _dl_runtime_resolve 函数地址）。

4. .plt.got (专门的 PLT 跳转表)

属性：代码段（权限：读取+执行 R-X）。
作用：这是一个特殊的 .plt 段，通常用于非延迟绑定的情况，或者用于处理某些特定的重定位类型（如通过 R_X86_64_GLOB_DAT 重定位的函数指针）。
区别：
- 标准的 .plt 条目通常包含三个动作：跳转到 GOT、压栈索引、跳到解析器。
- .plt.got 条目通常直接跳转到 .got（而不是 .got.plt）中存储的地址，不包含延迟绑定的逻辑（没有压栈和解析器的跳转）。它通常出现在启用了 -z now（Full RELRO）或编译器优化后的二进制文件中。

总结与对比

段名称	类型	权限	存储内容	核心目的
.plt	代码	R-X	跳转代码片段 (Stubs)	函数调用的中转站，触发延迟绑定
.plt.got	代码	R-X	直接跳转代码	跳过延迟绑定逻辑，直接跳转到 GOT 地址
.got	数据	RW-	全局变量的绝对地址	变量引用的位置无关化
.got.plt	数据	RW-	外部函数的绝对地址	配合 .plt 实现函数的延迟绑定

协作流程演示（以延迟绑定为例）：

Call printf@plt：程序跳转到 .plt 中 printf 对应的条目。
Jmp to .got.plt：.plt 里的第一条指令跳转到 .got.plt 记录的地址。
- 第一次调用：.got.plt 填的是 .plt 的下一行。
Resolve：.plt 剩下的代码调用动态链接器，找到 printf 的真实地址。
Update：动态链接器将 printf 的真实地址写回 .got.plt。
Subsequent Calls：下次再调 printf@plt 时，第 2 步的 Jmp 会直接跳到 printf 的真实地址。

为什么现在的安全保护（RELRO）会影响这些段？

Partial RELRO：.got.plt 是可写的。攻击者可以利用堆栈溢出覆盖 .got.plt 的条目，将 printf 改为 system，从而实现 GOT Hijacking。
Full RELRO：动态链接器在程序启动时就把所有函数解析完毕，并将 .got.plt 设为只读。此时，.plt.got 的作用就会变得更明显，因为不再需要延迟绑定逻辑了。

栈帧结构和栈溢出漏洞

Mon, 27 Oct 2025 16:07:00 +0000

栈帧

什么是栈帧

函数栈帧 (stack frame) 就是函数调用过程中程序的调用栈 (call stack) 所开辟的空间，这些空间是用来存放：

函数参数和函数返回值
临时变量（包括函数的非静态的局部变量以及编译器自动生产的其他临时变量）
保存上下文信息（包括在函数调用前后需要保持不变的寄存器）

栈帧结构

栈从高地址向低地址生长，而在 x86 架构下数据则以小端序写入：高位字节放高地址端，低位字节放低地址端，可以理解为从低地址向高地址生长。

所以，栈顶在低地址处，栈基在高地址处。

主调函数进行函数调用时，一般会在紧贴主调函数栈帧下方建立一个新的栈帧。

重要指针寄存器

栈指针： sp ，指向栈顶， push 指令会使 sp 下移， pop 指令会使 sp 上移。

帧指针： bp ，指向当前函数栈帧的基，指向的位置用于保存当前函数的主调函数的帧指针。

指令指针： ip ，是计算机处理器中用于存储下一条待执行指令内存地址的寄存器。

注意，栈指针与帧指针正常情况下均应指向某个单位内存的最低地址处。

32 位栈帧结构

64 位栈帧结构

64 位下，函数的前 6 个参数会存放在寄存器中，从第一个参数开始依次存入寄存器 rdi ， rsi ， rdx ， rcx ， r8 ， r9 中。

接下来的讨论默认为 64 位的情形。

栈相关汇编机制

pop 与 push

push x ：将 x 压入栈中（本质上是覆盖栈中数据），先使 rsp 下移 8 字节，再将内存单元 x （寄存器或内存地址）的值复制入此时 rsp 所指位置，等价于 sub rsp, 0x8; mov [rsp], x
pop x ：弹出栈顶（实际上不会删除原栈顶数据）将栈顶的值，即 rsp 所指位置的值复制入 x （寄存器或内存地址）中，并使 rsp 上移 8 字节，等价于 mov x, [rsp]; add rsp, 0x8

call 与 leave 与 ret

call x ：本质上是 jump 指令，但会将本语句的下一条语句的地址 push 到栈中，等价于 push (rip + 指令长度); jump x
leave ：清除该函数栈帧（实际上不会处理栈中残余数据），等价于 mov rsp, rbp; pop rbp 执行后
ret ：函数返回，等价于 pop rip

函数序言

函数序言 (Function Prologue) 是函数开始时的一段标准汇编代码，用于建立函数的执行环境，通常包含对栈的操作，例：

1
2
3
4
5


; 函数序言
push rbp ; 保存调用者的栈基指针
mov rbp, rsp ; 设置当前函数的栈基指针
sub rsp, 0x20 ; 为局部变量分配栈空间（32字节）
push rbx ; 保存被调用者保存的寄存器

寄存器使用约定

程序寄存器组是唯一能被所有函数共享的资源。虽然某一时刻只有一个函数在执行，但需保证当某个函数调用其他函数时，被调函数不会修改或覆盖主调函数稍后会使用到的寄存器值。因此， IA32 采用一套统一的寄存器使用约定，所有函数（包括库函数）调用都必须遵守该约定。

根据惯例，寄存器 rax 、 rdx 和 rcx 为主调函数保存寄存器 (caller-saved registers) ，当函数调用时，若主调函数希望保持这些寄存器的值，则必须在调用前显式地将其保存在栈中；被调函数可以覆盖这些寄存器，而不会破坏主调函数所需的数据。寄存器 rbx 、 rsi 和 rdi 为被调函数保存寄存器 (callee-saved registers) ，即被调函数在覆盖这些寄存器的值时，必须先将寄存器原值压入栈中保存起来，并在函数返回前从栈中恢复其原值，因为主调函数可能也在使用这些寄存器。此外，被调函数必须保持寄存器 rbp 和 rsp ，并在函数返回后将其恢复到调用前的值，亦即必须恢复主调函数的栈帧。

当然，这些工作都由编译器在幕后进行。不过在编写汇编程序时应注意遵守上述惯例。

栈溢出漏洞

栈溢出介绍

栈溢出指的是程序向栈中某个变量中写入的字节数超过了这个变量本身所申请的字节数，因而导致与其相邻的栈中的变量的值被改变。这种问题是一种特定的缓冲区溢出漏洞，类似的还有堆溢出，bss 段溢出等溢出方式。栈溢出漏洞轻则可以使程序崩溃，重则可以使攻击者控制程序执行流程。此外，我们也不难发现，发生栈溢出的基本前提是：

程序必须向栈上写入数据。
写入的数据大小没有被良好地控制。

栈溢出利用思路

寻找危险函数

通过寻找危险函数，我们快速确定程序是否可能有栈溢出，以及有的话，栈溢出的位置在哪里。常见的危险函数如下：

输入

gets : 直接读取一行，忽略’\x00' scanf : 用于从标准输入（如键盘）读取数据并存储到指定变量

输出

sprintf : 输出格式化字符串到缓冲区

字符串

strcpy : 字符串复制，遇到’\x00’停止 strcat : 字符串拼接，遇到’\x00’停止 bcopy : 内存拷贝

确定填充长度

这一部分主要是计算我们所要操作的地址与我们所要覆盖的地址的距离。常见的操作方法就是打开 IDA ，根据其给定的地址计算偏移。一般变量会有以下几种索引模式：

相对于栈基地址的的索引，可以直接通过查看与 rbp 的相对偏移获得
相对应栈顶指针的索引，一般需要进行调试，之后还是会转换到第一种类型。
直接地址索引，就相当于直接给定了地址。

一般来说，我们会有如下的覆盖需求：

覆盖函数返回地址，这时候就是直接看 rbp 即可。
覆盖栈上某个变量的内容，这时候就需要更加精细的计算了。
覆盖 bss 段某个变量的内容。
根据现实执行情况，覆盖特定的变量或地址的内容。

之所以我们想要覆盖某个地址，是因为我们想通过覆盖地址的方法来直接或者间接地控制程序执行流。