将PIE可执行程序转换成动态链接库

在《IDA flare-emu示例》中提过一句将普通可执行ELF转成.so文件，bluerust就此向我推荐开源项目:

https://github.com/lief-project/LIEF

其原话是，”高级、好用”。bluerust本职工作是说单口相声的，平时嘴贫得不行，还都是用英语砸我，难得用一次汉语，居然才四个字。这我一定得试试。

考虑这样一种场景，某ELF中有未导出函数对in实现某种数学运算产生out，暂时搞不清细节，想快速利用之。简单情形可以直接读到内存里当成shellcode那样的可移动代码用，复杂情形只好具体问题具体分析。

我最早干的是用dlopen()加载传统可执行程序，本文介绍的是将PIE转成动态链接库，二者有所区别。不过来都来了，就过一遍吧。

本文是LIEF官方文档节选某一小段后的中译版，没有原创内容。

Transforming an ELF executable into a library
https://lief.quarkslab.com/doc/latest/tutorials/08_elf_bin2lib.html

本文在x64/Ubuntu 16.04.6 LTS中测试。

安装LIEF:

python3 -m pip install --upgrade pip
pip3 install setuptools --upgrade
pip3 install lief

简单测试LIEF:

import lief
binary  = lief.parse( "/bin/ls" )
print( binary )

一切正常的话，会看到很大一片输出，都是ELF相关信息。

true、ssh都是可执行ELF，但二者的Type不同；true是传统可执行程序，ssh是所谓的位置无关可执行程序(PIE)。PIE与.so一样，其加载基址是浮动的。用gdb调试PIE时，若想断在”Entry point”，参看《GDB启动被调试进程时如何尽早断下》，需要一些奇技淫巧。

vi lief_sample_0.py

# -*- encoding: cp936 -*-
#
# python3 lief_sample_0.py /usr/bin/ssh
# python3 lief_sample_0.py /lib/x86_64-linux-gnu/libc.so.6
#
import sys
import lief
filename    = sys.argv[1]
binary      = lief.parse( filename )
print( binary.header.file_type )
n           = len( binary.exported_functions )
print( n )
if ( n > 0 ) :
print( binary.exported_functions[0] )

$ python3 lief_sample_0.py /usr/bin/ssh
E_TYPE.DYNAMIC
9
mkstemp - 0x67fe0
$ python3 lief_sample_0.py /lib/x86_64-linux-gnu/libc.so.6
E_TYPE.DYNAMIC
2062
putwchar - 0x710f0

PIE与.so的主要区别在于导出符号，ssh只有很少的导出符号，libc.so有很多导出符号。

vi lief_sample_1.c

#if 0
x64/Ubuntu 16.04.6 LTS + gcc 5.4.0
gcc -Wall -pipe -O3 -s -o lief_sample_1_a lief_sample_1.c
gcc -Wall -pipe -O3 -fvisibility=hidden -fPIE -pie -Wl,-strip-all,--hash-style=both -o lief_sample_1_b lief_sample_1.c
#endif
#include <stdlib.h>
#include <stdio.h>
#include <string.h>
static __attribute__((noinline)) int check ( char *sth )
{
if ( strcmp( sth, "magic" ) == 0 )
{
return( 1 );
}
return( 0 );
}
int main ( int argc, char * argv[] )
{
if ( argc != 2 )
{
printf( "Usage: %s <sth>\n", argv[0] );
return( -1 );
}
if ( check( argv[1] ) )
{
printf( "Ok\n" );
}
else
{
printf( "Try again\n" );
}
return( 0 );
}

本例刻意对比不同编译方式:

尽管lief_sample_1_b是PIE，但没有导出符号。

$ ./lief_sample_1_b magic
Ok
$ ./lief_sample_1_b other
Try again

用IDA反汇编lief_sample_1_b，check()符号被抹去，其相对加载基址的内存偏移是0x860，不要用文件偏移。

vi lief_sample_2.py

# -*- encoding: cp936 -*-
#
# python3 lief_sample_2.py <piefile> <funcoff> <funcname> <sofile>
# python3 lief_sample_2.py lief_sample_1_b 0x860 check lief_sample_1_b.so
#
import sys
import lief
piefile     = sys.argv[1]
funcoff     = int( sys.argv[2], 0 )
funcname    = sys.argv[3]
sofile      = sys.argv[4]
binary      = lief.parse( piefile )
binary.add_exported_function( funcoff, funcname )
try :
#
# glibc >= 2.29 deny calls to dlopen with PIE binaries. so we remove
# DF_1_PIE flag.
#
binary[lief.ELF.DYNAMIC_TAGS.FLAGS_1].remove( lief.ELF.DYNAMIC_FLAGS_1.PIE )
except AttributeError :
pass
binary.write( sofile )

用LIEF将PIE转成.so:

python3 lief_sample_2.py lief_sample_1_b 0x860 check lief_sample_1_b.so

意思是，PIE加载后偏移0x860处的代码为之起名check()，按此要求生成.so。

$ python3 lief_sample_0.py lief_sample_1_b.so
E_TYPE.DYNAMIC
1
check - 0x4860

对比lief_sample_1_b、lief_sample_1_b.so:

$ readelf --dyn-syms lief_sample_1_b
Symbol table '.dynsym' contains 13 entries:
Num:    Value          Size Type    Bind   Vis      Ndx Name
0: 0000000000000000     0 NOTYPE  LOCAL  DEFAULT  UND
1: 0000000000000668     0 SECTION LOCAL  DEFAULT   12
...
12: 0000000000201040     0 NOTYPE  GLOBAL DEFAULT   27 __bss_start
$ readelf --dyn-syms lief_sample_1_b.so
Symbol table '.dynsym' contains 14 entries:
Num:    Value          Size Type    Bind   Vis      Ndx Name
0: 0000000000000000     0 NOTYPE  LOCAL  DEFAULT  UND
1: 0000000000004668     0 SECTION LOCAL  DEFAULT   12
...
12: 0000000000205040     0 NOTYPE  GLOBAL DEFAULT   27 __bss_start
13: 0000000000004860 0x7bb22900 FUNC    GLOBAL DEFAULT   15 check
$ readelf -s lief_sample_1_b.so | grep "FUNC    GLOBAL"
3: 0000000000000000     0 FUNC    GLOBAL DEFAULT  UND puts@GLIBC_2.2.5 (2)
4: 0000000000000000     0 FUNC    GLOBAL DEFAULT  UND __libc_start_main@GLIBC_2.2.5 (2)
6: 0000000000000000     0 FUNC    GLOBAL DEFAULT  UND __printf_chk@GLIBC_2.3.4 (3)
13: 0000000000004860 0x7bb22900 FUNC    GLOBAL DEFAULT   15 check
$ nm -D lief_sample_1_b.so | grep " T "
0000000000004860 T check
$ objdump -T lief_sample_1_b.so | grep "g    DF"
0000000000004860 g    DF .text  000000007bb22900              check

常规ELF工具已经看到lief_sample_1_b.so中的导出符号check，IDA反汇编更显眼。

lief_sample_1_b.so现在可以当成可执行程序用，也可当成动态链接库用。

$ chmod +x lief_sample_1_b.so
$ ./lief_sample_1_b.so magic
Ok
$ ./lief_sample_1_b.so other
Try again

下面写个程序dlopen()打开lief_sample_1_b.so，调用其中的check()。

vi lief_sample_3.c

#if 0
x64/Ubuntu 16.04.6 LTS + gcc 5.4.0
gcc -Wall -pipe -O3 -s -o lief_sample_3 lief_sample_3.c -ldl
#endif
#include <stdio.h>
#include <stdlib.h>
#include <dlfcn.h>
typedef int ( *some_t ) ( char * );
int main ( int argc, char * argv[] )
{
char   *sofile,
*funcname,
*sth;
void   *so;
some_t  some;
int     someret;
if ( argc != 4 )
{
printf( "Usage: %s <sofile> <funcname> <sth>\n", argv[0] );
return( -1 );
}
sofile      = argv[1];
funcname    = argv[2];
sth         = argv[3];
so          = dlopen( sofile, RTLD_LAZY );
if ( !so )
{
fprintf( stderr, "dlopen error: %s\n", dlerror() );
return( -1 );
}
some        = ( some_t )dlsym( so, funcname );
someret     = some( sth );
printf( "%s(\"%s\")=%d\n", funcname, sth, someret );
if ( someret )
{
printf( "Ok\n" );
}
else
{
printf( "Try again\n" );
}
return( 0 );
}

$ ./lief_sample_3 ./lief_sample_1_b.so check magic
check("magic")=1
Ok
$ ./lief_sample_3 ./lief_sample_1_b.so check other
check("other")=0
Try again

lief_sample_2.py负责PIE转.so。更多编程细节参看:

LIEF API
https://lief.quarkslab.com/doc/latest/api/index.html
ELF API
https://lief.quarkslab.com/doc/latest/api/python/elf.html