本文作者/focus

HOOK通過(guò)在系統(tǒng)調(diào)用或函數(shù)調(diào)用前以替換的方式改變程序中原有的函數(shù)功能，實(shí)現(xiàn)更改原有函數(shù)的功能。

利用LD_PRELOAD進(jìn)行HOOK

Linux提供了一個(gè)名為L(zhǎng)D_PRELOAD的環(huán)境變量。這個(gè)環(huán)境變量允許用戶指定一個(gè)或多個(gè)共享鏈接庫(kù)文件的路徑。當(dāng)程序啟動(dòng)時(shí)，動(dòng)態(tài)加載器會(huì)在加載C語(yǔ)言運(yùn)行庫(kù)之前，首先加載LD_PRELOAD所指定的共享鏈接庫(kù)。這種加載方式被稱為預(yù)裝載。

預(yù)裝載機(jī)制使得用戶可以在程序執(zhí)行前插入自定義的共享鏈接庫(kù)，從而改變或擴(kuò)展程序的行為。這些自定義的共享鏈接庫(kù)可以包含重寫(xiě)的函數(shù)定義，當(dāng)程序嘗試調(diào)用這些函數(shù)時(shí)，動(dòng)態(tài)加載器會(huì)優(yōu)先加載并執(zhí)行預(yù)裝載的庫(kù)中的函數(shù)定義，而不是默認(rèn)的庫(kù)中的定義。結(jié)合LD_PRELOAD和預(yù)裝載機(jī)制，我們可以實(shí)現(xiàn)對(duì)函數(shù)的HOOK。

首先我們編寫(xiě)一個(gè)目標(biāo)程序代碼，這個(gè)程序會(huì)等待用戶的輸入，從而處于阻塞狀態(tài)。

?

#include?

int?main()
{
??printf("please input a number:
");
??int?val = 0;
??scanf("%d", &val);
??printf("already recv your number!
");
??return?0;
}

?

然后編寫(xiě)HOOK函數(shù)，該函數(shù)重寫(xiě)了scanf函數(shù)，打印出一句話，從而使目標(biāo)程序便能夠無(wú)需等待用戶輸入而繼續(xù)執(zhí)行。

?

#include?

int?main()
{
??printf("please input a number:
");
??int?val = 0;
??scanf("%d", &val);
??printf("already recv your number!
");
??return?0;
}

?

通過(guò)以下命令分別編譯目標(biāo)程序和用于HOOK的so文件。

?

gcc ./target.c -o target
gcc --shared hook.c -o hook.so -fPIC

?

執(zhí)行下述命令實(shí)現(xiàn)HOOK?？梢钥吹絪canf函數(shù)由原先的等待用戶輸入，變成了輸出一句話。

?

LD_PRELOAD=./hook.so ./target

?

利用ptrace進(jìn)行HOOK

然而上述方法只能對(duì)未運(yùn)行的程序進(jìn)行HOOK，對(duì)于已經(jīng)運(yùn)行的程序可以利用ptrace系統(tǒng)調(diào)用進(jìn)行HOOK。

ptrace允許一個(gè)進(jìn)程監(jiān)控和控制另一個(gè)進(jìn)程的執(zhí)行，是GDB等調(diào)試器實(shí)現(xiàn)的基礎(chǔ)。利用ptrace進(jìn)行HOOK的步驟如下所示：

?

1.HOOK程序利用ptrace附加到已經(jīng)運(yùn)行的目標(biāo)程序，獲取目標(biāo)進(jìn)程運(yùn)行的上下文，保存原寄存器數(shù)據(jù)；
2.查找目標(biāo)程序的link_map鏈表的指針，根據(jù)函數(shù)名稱遍歷查找函數(shù)的真實(shí)地址。link_map地址存在于.got.plt區(qū)節(jié)中，該區(qū)節(jié)的加載地址可以從DYNAMIC段DT_PLTGOT區(qū)域得到。在此我們主要查找dlopen函數(shù)地址；
3.通過(guò)修改目標(biāo)程序的寄存器和堆棧使目標(biāo)程序調(diào)用dlopen函數(shù)，從而將hook.so加載到目標(biāo)程序中；
4.將要HOOK的原函數(shù)地址，替換為hook.so中重寫(xiě)后的新函數(shù)地址。因?yàn)閔ook.so在上一步被dlopen加載到目標(biāo)內(nèi)存空間中，所以重寫(xiě)后的新函數(shù)地址可以通過(guò)步驟2得到；
5.恢復(fù)目標(biāo)程序原寄存器的內(nèi)容，傳入PTRACE_DETACH參數(shù)結(jié)束對(duì)目標(biāo)程序的附加。

?

接下來(lái)詳細(xì)介紹具體的實(shí)現(xiàn)：

利用ptrace附加目標(biāo)程序，傳入user_regs_struct結(jié)構(gòu)體用于保存目標(biāo)程序的寄存器信息。

?

void?ptrace_attach(pid_t?pid， struct user_regs_struct *regs)
{
????if(ptrace(PTRACE_ATTACH, pid, NULL, NULL) < 0)
????{
????????printf("ptrace_attach error
");
????}
????
????waitpid(pid, NULL, WUNTRACED);
????
????if(ptrace(PTRACE_GETREGS, pid, NULL, regs)) 
????{
????????printf("ptrace_getregs error!
");
????}
}

?

這里省略了查找link_map鏈表指針，該鏈表可以通過(guò)解析ELF文件結(jié)構(gòu)獲取到。主要看如何遍歷link_map鏈表查找指定函數(shù)的地址。

在find_symbol函數(shù)中通過(guò)link_map鏈表指針獲取link_map結(jié)構(gòu)體內(nèi)容，根據(jù)link_map中l(wèi)_name字段判斷該動(dòng)態(tài)鏈接庫(kù)是否有效。

在find_symbol_in_linkmap函數(shù)中，通過(guò)解析link_map中l(wèi)_ld字段，獲取動(dòng)態(tài)鏈接庫(kù)的符號(hào)表等信息，與指定函數(shù)名稱進(jìn)行對(duì)比，獲取該函數(shù)的地址。

?

Elf_Addr find_symbol(int?pid, Elf_Addr lm_addr, char?*sym_name)
{
????struct?link_map?lmap;//存儲(chǔ)lmap的內(nèi)容
????unsigned?int?nlen = 0;

????while?(lm_addr) 
????{
????????// 有了link_map指針后，根據(jù)指針獲取link_map結(jié)構(gòu)體的內(nèi)容
????????ptrace_getdata(pid, lm_addr, &lmap, sizeof(struct link_map));
????// 獲取下一個(gè)link_map結(jié)構(gòu)體的指針
????????lm_addr = (Elf_Addr)(lmap.l_next);
????????// 判斷動(dòng)態(tài)鏈接庫(kù)是有否有效
????????if?(0?== lmap.l_name) 
????????{
????????????continue;
????????}
????????Elf_Addr sym_addr = find_symbol_in_linkmap(pid, &lmap, sym_name);
????????if?(sym_addr) 
????????{
????????????return?sym_addr;
????????}
????}
????return?0;
}

?

通過(guò)上一步的find_symbol函數(shù)，可以得到dlopen的函數(shù)地址，模擬調(diào)用dlopen函數(shù)，設(shè)置棧空間將要加載的so庫(kù)絕對(duì)路徑寫(xiě)入棧地址，調(diào)用dlopen加載so庫(kù)到目標(biāo)地址中。

?

int?inject_code(pid_t?pid, unsigned?long?dlopen_addr, char?*libc_path)
{
????char?sbuf1[STRLEN], sbuf2[STRLEN];
????struct?user_regs_struct?regs, saved_regs;
????int?status;

????ptrace_getregs(pid, ®s);//獲取所有寄存器值
????ptrace_getdata(pid, regs.rsp + STRLEN, sbuf1, sizeof(sbuf1));
????ptrace_getdata(pid, regs.rsp, sbuf2, sizeof(sbuf2));

????/*用于引發(fā)SIGSEGV信號(hào)的ret內(nèi)容*/
????unsigned?long?ret_addr = 0x666;

????ptrace_setdata(pid, regs.rsp, (char?*)&ret_addr, sizeof(ret_addr));
????ptrace_setdata(pid, regs.rsp + STRLEN, libc_path, strlen(libc_path) + 1); 

????memcpy(&saved_regs, ®s, sizeof(regs));

????regs.rdi = regs.rsp + STRLEN;
????regs.rsi = RTLD_NOW|RTLD_GLOBAL|RTLD_NODELETE;
????regs.rip = dlopen_addr+2;

????if?(ptrace(PTRACE_SETREGS, pid, NULL, ®s) < 0)
????{
????????printf("inject_code:PTRACE_SETREGS 1 failed!");
????}
????if?(ptrace(PTRACE_CONT, pid, NULL, NULL) < 0)
????{
????????printf("inject_code:PTRACE_CONT failed!");
????}
????waitpid(pid, &status, 0);
????if?(ptrace(PTRACE_SETREGS, pid, 0, &saved_regs) < 0)
????{
????????printf("inject_code:PTRACE_SETREGS 2 failed!");;
????}
????ptrace_setdata(pid, saved_regs.rsp + STRLEN, sbuf1, sizeof(sbuf1));
????ptrace_setdata(pid, saved_regs.rsp, sbuf2, sizeof(sbuf2));
????return?0;
}

?

接下來(lái)查找目標(biāo)程序的got表，修改目標(biāo)函數(shù)的got表內(nèi)容為新函數(shù)的地址。

?

Elf_Addr find_sym_in_rel(int?pid, char?*sym_name)
{
????Elf_Rel *rel = (Elf_Rel *) malloc(sizeof(Elf_Rel));
????Elf_Sym *sym = (Elf_Sym *) malloc(sizeof(Elf_Sym));
????int?i;
????char?str[STRLEN] = {0};
????unsigned?long?ret;
????struct?lmap_result?*lmret?= get_dyn_info(pid);

????for?(i = 0; inrelplts; i++) 
????{
????????ptrace_getdata(pid, lmret->jmprel + i*sizeof(Elf_Rela), rel, sizeof(Elf_Rela));
????????ptrace_getdata(pid, lmret->symtab + ELF64_R_SYM(rel->r_info) * sizeof(Elf_Sym), sym, sizeof(Elf_Sym));
????????int?n = ptrace_getstr(pid, lmret->strtab + sym->st_name, str, STRLEN);
????????if?(strcmp(str, sym_name) == 0) 
????????????break;
????}
????if?(i == lmret->nrelplts)
????????ret = 0;
????else
????????ret = rel->r_offset;
????free(rel);
????return?ret;
}

?

在這里我們修改一下目標(biāo)程序，循環(huán)10次，每次接收控制臺(tái)輸入，并打印出來(lái)。

?

#include?
#include?
int?main()
{
??int?val = 10;
??while?(val--)
??{
????????sleep(2);
????printf("please input a number:
");
????int?val = 0;
????scanf("%d", &val);
????printf("your val is %d
", val); 
??}

??return?0;
}

?

在HOOK代碼中，自動(dòng)為val變量賦值。

?

#include?
#include?
int?num = 1;
int?hookscanf(const?char?*format,...)
{
????va_list ap;
????int?retval;
????va_start(ap, format);
????int* pval = va_arg(ap, int*);
??printf("自動(dòng)輸入：%d
", num);
????*pval = num++;
????return?0;
}

?

編譯運(yùn)行，效果如下，不需要在控制臺(tái)進(jìn)行輸入，自動(dòng)為val賦值。

小結(jié)

本文介紹了兩種linux系統(tǒng)下常見(jiàn)的HOOK方法，第一種方法比較簡(jiǎn)單但無(wú)法對(duì)已經(jīng)運(yùn)行的程序進(jìn)行HOOK，第二種方法相較于第一種會(huì)更加復(fù)雜，需要對(duì)ELF文件格式以及相關(guān)結(jié)構(gòu)有更深入的了解。

審核編輯：黃飛

?