致謝：

一、前言

今天我們繼續來介紹so加固方式，在前面一篇文章中我們介紹了對so中指定的段(section)進行加密來實現對so加固

這篇文章我們延續之前的這篇文章來介紹一下如何對函式進行加密來實現加固，當然這篇文章和前篇文章有很多類似的地方，這裡就不做太多的解釋了，所以還請閱讀這篇文章之前先去了解前一篇文章。

二、技術原理

這篇和之前的那篇文章唯一的不同點就是如何找到指定的函式的偏移地址和大小

那麼我們先來了解一下so中函式的表現形式：

在so檔案中，每個函式的結構描述是存放在.dynsym段中的。每個函式的名稱儲存在.dynstr段中的，類似於之前說過的每個section的名稱都儲存在.shstrtab段中，所以在前面的文章中我們找到指定段的時候，就是通過每個段的sh_name欄位到.shstrtab中尋找名字即可，而且我們知道.shstrtab這個段在標頭檔案中是有一個index的，就是在所有段列表中的索引值，所以很好定位.shstrtab.

但是在這篇文章我們可能遇到一個問題，就是不能按照這種方式去查詢指定函式名了：

可能有的人意識到一個方法，就是我們可以通過section的type來獲取.dynsym和.dynstr。我們看到上圖中.dynsym型別是：DYNSYM,

.dynstr型別是STRTAB,但是這種方法是不行的，因為這個type不是唯一的，也就說不同的section，type可能相同，我們沒辦法區分，比如.shstrtab和.dynstr的type都是STRTAB.其實從這裡我們就知道這兩個段的區別了：

.shstrtab值儲存段的名稱，.dynstr是儲存so中的所有符號名稱。

那麼我們該怎麼辦呢？這時候我們再去看一下elf的說明文件：

我們看到有一個.hash段，在上圖中我們也可以看到的：

由 Elf32_Word 物件組成的雜湊表支援符號表訪問。下面的例子有助於解釋雜湊表

組織,不過不是規範的一部分。bucket 陣列包含 nbucket 個專案,chain 陣列包含 nchain 個專案,下標都是從 0 開始。bucket 和 chain 中都儲存符號表索引。Chain 表項和符號表存在對應。符號 表項的數目應該和 nchain 相等,所以符號表的索引也可用來選取 chain 表項。雜湊 函式能夠接受符號名並且返回一個可以用來計算 bucket 的索引。
因此,如果雜湊函式針對某個名字返回了數值 X,則 bucket[X%nbucket] 給出了 一個索引 y,該索引可用於符號表,也可用於 chain 表。如果符號表項不是所需要的, 那麼 chain[y] 則給出了具有相同雜湊值的下一個符號表項。我們可以沿著 chain 鏈 一直搜尋,直到所選中的符號表項包含了所需要的符號,或者 chain 項中包含值 STN_UNDEF。

上面的描述感覺有點複雜，其實說的簡單點就是：

用目標函式名在用hash函式得到一個hash值，然後再做一些計算就可以得到這個函式在.dynsym段中這個函式對應的條目了。關於這個hash函式，是公用的，我們在Android中的bonic/linker.c原始碼中也是可以找到的：

unsigned long elf_hash (const unsigned char *name) {
unsigned long h = 0, g; while (*name)
{
	h=(h<<4)+*name++; if (g = h & 0xf0000000)
	h^=g>>24; h&=-g;
}
return h; 
}

那麼我們只要得到.hash段即可，但是我們怎麼獲取到這個section中呢？elf中並沒有對這個段進行資料結構的描述，有人可能想到了我們在上圖看到.hash段的type是HASH,那麼我們再通過這個type來獲取？但是之前說了，這個type不是唯一的，通過他來獲取section是不靠譜的？那麼我們該怎麼辦呢？這時候我們就要看一下程式頭資訊了：

我們知道程式頭資訊是最後so被載入到記憶體中的映像描述，這裡我們看到有一個.dynamic段。我們再看看so檔案的裝載檢視和連結檢視：

這個我們在之前也說過，在so被載入到記憶體之後，就沒有section了，對應的是segment了，也就是程式頭中描述的結構，而且一個segment可以包含多個section,相同的section可以被包含到不同的segment中。.dynamic段一般用於動態連結的，所以.dynsym和.dynstr，.hash肯定包含在這裡。我們可以解析了程式頭資訊之後，通過type獲取到.dynamic程式頭資訊，然後獲取到這個segment的偏移地址和大小，在進行解析成elf32_dyn結構。下面兩種圖就是程式頭的type型別和dyn結構描述，可以在elf.h中找到：

相關推薦