Android上可执行ELF文件中的段不能有基址

Stella981 等级 119 0 0
标签:

Android上可执行ELF文件中的段不能有基址

@(Android研究)[android]


[TOC]


场景

我使用Android NDK的编译工具交叉编译qemu项目(编译可在Android上运行的qemu user mode),将编译出来的qemu-arm可执行文件放到Android上执行时发生了"Segmentation fault",通过分析错误日志(Android linker加载库失败时输出更详细调试信息),发现是linker加载qemu-arm时出错,简要错误日志见下:

01-30 20:36:10.376 2078-2078/? A/libc: Fatal signal 11 (SIGSEGV), code 1, fault addr 0xc0011c80 in tid 2078 (the_exe)
01-30 20:36:10.377 197-197/? I/DEBUG: property debug.db.uid not set; NOT waiting for gdb.
01-30 20:36:10.377 197-197/? I/DEBUG: HINT: adb shell setprop debug.db.uid 100000
01-30 20:36:10.377 197-197/? I/DEBUG: HINT: adb forward tcp:5039 tcp:5039
01-30 20:36:10.482 197-197/? I/DEBUG: *** *** *** *** *** *** *** *** *** *** *** *** *** *** *** ***
01-30 20:36:10.482 197-197/? I/DEBUG: Build fingerprint: 'google/hammerhead/hammerhead:5.1.1/LMY48M/2167285:user/release-keys'
01-30 20:36:10.482 197-197/? I/DEBUG: Revision: '11'
01-30 20:36:10.482 197-197/? I/DEBUG: ABI: 'arm'
01-30 20:36:10.483 197-197/? I/DEBUG: pid: 2078, tid: 2078, name: the_exe  >>> ./the_exe <<<
01-30 20:36:10.483 197-197/? I/DEBUG: signal 11 (SIGSEGV), code 1 (SEGV_MAPERR), fault addr 0xc0011c80
01-30 20:36:10.491 26449-26682/system_process W/NativeCrashListener: Couldn't find ProcessRecord for pid 2078
01-30 20:36:10.558 197-197/? I/DEBUG:     r0 00000000  r1 b6fa83bf  r2 c0011c81  r3 b6fad714
01-30 20:36:10.558 197-197/? E/DEBUG: AM write failure (32 / Broken pipe)
01-30 20:36:10.558 197-197/? I/DEBUG:     r4 c0011c80  r5 b6fa83bf  r6 b6f9b004  r7 b6fa8486
01-30 20:36:10.558 197-197/? I/DEBUG:     r8 00000010  r9 b6fad714  sl 00000001  fp 6011fdb8
01-30 20:36:10.558 197-197/? I/DEBUG:     ip b6fa8486  sp bec6d7a8  lr b6f9f5b7  pc c0011c80  cpsr 800f0010
01-30 20:36:10.559 197-197/? I/DEBUG:     #00 pc c0011c80  <unknown>
01-30 20:36:10.559 197-197/? I/DEBUG:     #01 pc 000015b5  /system/bin/linker (__dl__ZN6soinfo12CallFunctionEPKcPFvvE+44)
01-30 20:36:10.559 197-197/? I/DEBUG:     #02 pc 00001689  /system/bin/linker (__dl__ZN6soinfo9CallArrayEPKcPPFvvEjb+140)
01-30 20:36:10.559 197-197/? I/DEBUG:     #03 pc 0000185f  /system/bin/linker (__dl__ZN6soinfo16CallConstructorsEv+142)
01-30 20:36:10.559 197-197/? I/DEBUG:     #04 pc 00003ae7  /system/bin/linker (__dl___linker_init+1594)
01-30 20:36:10.559 197-197/? I/DEBUG:     #05 pc 00000a98  /system/bin/linker (_start+4)
01-30 20:36:10.559 197-197/? I/DEBUG:     #06 pc 00000a98  /system/bin/linker (_start+4)
01-30 20:36:10.559 197-197/? I/DEBUG:     #07 pc 00000a98  /system/bin/linker (_start+4)

......

上面错误日志中有这么一行"#00 pc c0011c80 "。依据Linux的知识,内存的低3G地址是用户空间高1G地址是内核空间,内核空间地址范围是0xc0000000~0xffffffff,也就是说此时的pc指向了内核内存范围,这肯定是有问题的。

问题详解

下面是qemu-arm的段信息:

Section Headers:
  [Nr] Name              Type            Addr     Off    Size   ES Flg Lk Inf Al
  [ 0]                   NULL            00000000 000000 000000 00      0   0  0
  [ 1] .interp           PROGBITS        60000134 000134 000013 00   A  0   0  1
  [ 2] .dynsym           DYNSYM          60000148 000148 001b50 10   A  3   1  4
  [ 3] .dynstr           STRTAB          60001c98 001c98 0012d7 00   A  0   0  1
  [ 4] .hash             HASH            60002f70 002f70 000af8 04   A  2   0  4
  [ 5] .gnu.version      VERSYM          60003a68 003a68 00036a 02   A  2   0  2
  [ 6] .gnu.version_r    VERNEED         60003dd4 003dd4 000040 00   A  3   2  4
  [ 7] .rel.dyn          REL             60003e14 003e14 000050 08   A  2   0  4
  [ 8] .rel.plt          REL             60003e64 003e64 000d40 08   A  2   0  4
  [ 9] .plt              PROGBITS        60004ba4 004ba4 0013f4 00  AX  0   0  4
  [10] .text             PROGBITS        60005f98 005f98 0d3f00 00  AX  0   0  4
  [11] .note.android.ide PROGBITS        600d9e98 0d9e98 000018 00   A  0   0  4
  [12] .rodata           PROGBITS        600d9eb0 0d9eb0 0236c4 00   A  0   0  8
  [13] .ARM.extab        PROGBITS        600fd574 0fd574 00003c 00   A  0   0  4
  [14] .ARM.exidx        ARM_EXIDX       600fd5b0 0fd5b0 0000b8 08  AL 10   0  4
  [15] .data.rel.ro.loca PROGBITS        600fe690 0fd690 00b7e8 00  WA  0   0  8
  [16] .fini_array       FINI_ARRAY      60109e78 108e78 000008 00  WA  0   0  4
  [17] .init_array       INIT_ARRAY      60109e80 108e80 000040 00  WA  0   0  4
  [18] .preinit_array    PREINIT_ARRAY   60109ec0 108ec0 000008 00  WA  0   0  4
  [19] .data.rel.ro      PROGBITS        60109ec8 108ec8 004f30 00  WA  0   0  8
  [20] .dynamic          DYNAMIC         6010edf8 10ddf8 000128 08  WA  3   0  4
  [21] .got              PROGBITS        6010ef24 10df24 0010dc 00  WA  0   0  4
  [22] .data             PROGBITS        60110000 10f000 004164 00  WA  0   0  8
  [23] .bss              NOBITS          60114170 113170 10359f8 00  WA  0   0 16
  [24] .comment          PROGBITS        00000000 113164 000026 01  MS  0   0  1
  [25] .debug_info       PROGBITS        00000000 11318a 1efbce 00      0   0  1
  [26] .debug_abbrev     PROGBITS        00000000 302d58 01a79e 00      0   0  1
  [27] .debug_loc        PROGBITS        00000000 31d4f6 15fb92 00      0   0  1
  [28] .debug_aranges    PROGBITS        00000000 47d088 0010e8 00      0   0  8
  [29] .debug_ranges     PROGBITS        00000000 47e170 02c4e8 00      0   0  1
  [30] .debug_line       PROGBITS        00000000 4aa658 05d16e 00      0   0  1
  [31] .debug_str        PROGBITS        00000000 5077c6 02d269 01  MS  0   0  1
  [32] .debug_frame      PROGBITS        00000000 534a30 019bac 00      0   0  4
  [33] .note.gnu.gold-ve NOTE            00000000 54e5dc 00001c 00      0   0  4
  [34] .ARM.attributes   ARM_ATTRIBUTES  00000000 54e5f8 00002b 00      0   0  1
  [35] .symtab           SYMTAB          00000000 54e624 021dc0 10     36 5874  4
  [36] .strtab           STRTAB          00000000 5703e4 015378 00      0   0  1
  [37] .shstrtab         STRTAB          00000000 58575c 000195 00      0   0  1

观察上面的段信息可以发现,这些段都是有基址的,基址是0x60000000。段有基址,那么存在于段中的函数和变量也都是有基址的。

通过分析Android linker的源码发现,0xc0011c80地址值是linker对qemu-arm的构造函数进行重定位后的地址,该构造函数在ELF文件中显示的虚拟地址值是0x60011c80,0xc0011c80与0x60011c80之间差0x60000000,这里的0x60000000是linker将qemu-arm加载到内存时的基址。此时就不难理解0xc0011c80的值是怎么来的了,0xc0011c80等于"0x60000000 + 0x60011c80",

下面是ndk-build编译出的可执行文件的段信息:

Section Headers:
  [Nr] Name              Type            Addr     Off    Size   ES Flg Lk Inf Al
  [ 0]                   NULL            00000000 000000 000000 00      0   0  0
  [ 1] .interp           PROGBITS        00000134 000134 000013 00   A  0   0  1
  [ 2] .dynsym           DYNSYM          00000148 000148 0000d0 10   A  3   1  4
  [ 3] .dynstr           STRTAB          00000218 000218 0000bf 00   A  0   0  1
  [ 4] .hash             HASH            000002d8 0002d8 000048 04   A  2   0  4
  [ 5] .rel.dyn          REL             00000320 000320 000060 08   A  2   0  4
  [ 6] .rel.plt          REL             00000380 000380 000040 08  AI  2   7  4
  [ 7] .plt              PROGBITS        000003c0 0003c0 000074 00  AX  0   0  4
  [ 8] .text             PROGBITS        00000434 000434 001608 00  AX  0   0  4
  [ 9] .note.android.ide PROGBITS        00001a3c 001a3c 000018 00   A  0   0  4
  [10] .ARM.exidx        ARM_EXIDX       00001a54 001a54 000110 08  AL  8   0  4
  [11] .rodata           PROGBITS        00001b64 001b64 000016 01 AMS  0   0  1
  [12] .ARM.extab        PROGBITS        00001b7c 001b7c 00003c 00   A  0   0  4
  [13] .fini_array       FINI_ARRAY      00002e84 001e84 000008 00  WA  0   0  4
  [14] .init_array       INIT_ARRAY      00002e8c 001e8c 000010 00  WA  0   0  4
  [15] .preinit_array    PREINIT_ARRAY   00002e9c 001e9c 000008 00  WA  0   0  4
  [16] .dynamic          DYNAMIC         00002ea4 001ea4 000100 08  WA  3   0  4
  [17] .got              PROGBITS        00002fa4 001fa4 00005c 00  WA  0   0  4
  [18] .bss              NOBITS          00003000 002000 000004 00  WA  0   0  4
  [19] .comment          PROGBITS        00000000 002000 000023 01  MS  0   0  1
  [20] .note.gnu.gold-ve NOTE            00000000 002024 00001c 00      0   0  4
  [21] .ARM.attributes   ARM_ATTRIBUTES  00000000 002040 00002d 00      0   0  1
  [22] .shstrtab         STRTAB          00000000 00206d 0000dd 00      0   0  1
Key to Flags:
  W (write), A (alloc), X (execute), M (merge), S (strings)
  I (info), L (link order), G (group), T (TLS), E (exclude), x (unknown)
  O (extra OS processing required) o (OS specific), p (processor specific)

观察上面的段信息可以发现,通过ndk-build编译出来的可执行文件中的段是没有基址的。

0xc0011c80地址形成的印证

下面的代码摘自Android linker源码"android/system/bionic/linker/linker.cpp"文件(源自Android5.1.1源码):

#if defined(__arm__)
      case R_ARM_RELATIVE:
#elif defined(__i386__)
      case R_386_RELATIVE:
#endif
        count_relocation(kRelocRelative);
        MARK(rel->r_offset);
        if (sym) {
          DL_ERR("odd RELATIVE form...");
          return -1;
        }
        TRACE_TYPE(RELO, "[R_ARM_RELATIVE/R_386_RELATIVE] RELO RELATIVE %p <- +%p",
                   reinterpret_cast<void*>(reloc), reinterpret_cast<void*>(base));
        *reinterpret_cast<ElfW(Addr)*>(reloc) += base;
        break;

*reinterpret_cast<ElfW(Addr)*>(reloc) += base;语句可知,被重定位函数的最终地址等于ELF文件中的虚拟地址加上内存基址。这条语句印证了上面对于0xc0011c80地址形成的分析,同时也印证了Android上可执行ELF文件中的段不能有基址,如果段中有基址那么内存基址与ELF中虚拟地址相加后通常将会产生一个很大的数值。

关于为什么编译qemu-arm可执行文件时输出ELF中的段有基址,可以阅读文章:编译可在Android上运行的qemu user mode中"添加arm的PIE支持"一节。

收藏
评论区

相关推荐

XCTF when_did_you_born
使用file查看文件是多少位可以看出是Linux系统下的64位ELF文件用checksec检查文件保护有金丝雀(canary)还有堆的保护运行程序当输入数据过长时,显示程序段错误,直接崩溃了,说明是可能存在栈溢出的,但是存在canary保护,可能不是直接溢出IDA中汇编出伪C代码输入v5如果是1926直接退出,如果不是再用ge
XCTF hello_pwn
使用file查看文件是多少位Linux系统下的64位ELF文件用checksec检查文件保护没有canary保护IDA中汇编出伪C代码从unk_601068中读取10个字节,再读取dword_60106C中数据与1853186401比较,unk_601068,dword_60106C都是在段中exp打远程得到flag
这是什么骚批代码!
神秘代码大家好 我是周杰伦今天给大家看个有意思的东西!不仅有意思,还能学到知识。话题从两行(准确的说是一行)神奇的代码聊起:include int mainLinux下:不仅能编译成功,还能正常运行,在Windows上输出了一个MZ,在Linux上输出了一个ELF。熟悉PE文件格式的同学可能知道,MZ是PE文件开头的标志,另外,ELF也是Linux上的可执行
GCC编译器原理(一)05
### 1.3.18 readelf:elf 文件格式分析工具 这个工具和 objdump 命令提供的功能类似,但是它显示的信息更为具体,并且它不依赖 BFD 库( BFD 库是一个 GNU 项目,它的目标就是希望通过一种统一的接口来处理不同的目标文件); ELF 文件类型 ELF(Executable and Linking Format)是一种对象文
ELF文件结构描述
* * * ELF目标文件格式最前部ELF文件头(ELF Header),它包含了描述了整个文件的基本属性,比如ELF文件版本、目标机器型号、程序入口地址等。其中ELF文件与段有关的重要结构就是段表(Section Header Table) ELF文件格式 ------- 1. 可重定向文件:文件保存着代码和适当的数据,用来和其他的目标文件一起来创
mysql字段默认值不生效的问题解决(上)
在项目中使用mybatis做为持久层框架,mysql数据库。项目上线前,DBA要求我们将每张数据库表中的字段都设置默认值和not null。之前项目中有一些insert语句是将表中所有字段都列出来,然后把它做为一个通用的插入语句来使用。举个简单的例子:假如一张数据库表blog中有如下几个字段:id,title,content,author,除id外,每个字段
2020Android开发陷入饱和,移动开发者未来的出路在哪里,我们该如何让应对?
Android开发的现状 ============ 目前,移动开发已经处于饱和的阶段,Android开发也不如当年盛况,已经不再像前几年前那么火爆。正如一种编程语言如果经历过盛极一时,那么必然有这样的一条曲线,像我们学的正弦曲线先急速上升,然后到达顶点,然后再下降,最后再趋近一个平稳的值。 可以看到,从2016年的下半年开始,移动互联网基本处于缓慢发展的
2020Android开发陷入饱和,移动开发者未来的出路在哪里,我们该如何让应对?
Android开发的现状 ============ 目前,移动开发已经处于饱和的阶段,Android开发也不如当年盛况,已经不再像前几年前那么火爆。正如一种编程语言如果经历过盛极一时,那么必然有这样的一条曲线,像我们学的正弦曲线先急速上升,然后到达顶点,然后再下降,最后再趋近一个平稳的值。 可以看到,从2016年的下半年开始,移动互联网基本处于缓慢发展的
64位Linux下安装IDA pro&IDA pro的使用
最近需要用到IDA pro分析ELF文件,之前看到有在Windows下远程调试ELF的,但不知道在Linux下直接使用IDA pro分析是否会更简单。 下面给大家提供这两种的安装方法 **Linux下安装IDA PRO** 在Linux下安装IDA PRO的方法非常简单,看到Linux版本IDA的来源是吾爱破解的这个链接: [http://down.
Android Studio 使用NDK编译jni
试用了Android Studio一段时间,发现这东西不支持C/C++,而且创建工程也只能创建Android的工程.这可苦恼死我了.... 网上找了找,大多人都说是AndroidStudio和Eclipse之间来回切换..这不悲剧吗? 在AndroidStuido的Setting-Plugins中发现有C/C++的插件,安装后发现自己能力有限,不会玩这东
Android上可执行ELF文件中的段不能有基址
Android上可执行ELF文件中的段不能有基址 ======================== @(Android研究)\[android\] * * * \[TOC\] * * * 场景 -- 我使用Android NDK的编译工具交叉编译qemu项目([编译可在Android上运行的qemu user mode](http://my.os
Android模拟器不能上网的解决方法
我原来一直不用Android的模拟器,因为这东西的多年前的印象真的是很糟糕——启动半个小时,不支持OpenGL。即使后来有了x86镜像,在HAXM的支持下快的飞起,也不想用,因为NDK还要编译x86的。那个时候我一直用网易的MuMu模拟器——只需要编译Armv7的就行了。再后来就是网易的全部Mac App不知道抽了什么风,疯狂写log,直到写满硬盘为止,我就
Flutter
场景 在某些业务上,可能我们需要计算多段文字的高度,达到动态适配ListView高度的目的,满足我们产品的优(bian)秀(tai)需求。在android原生层大家都知道有各种手段可以计算文字的宽、高等,例如paint.layout等等手段。但在flutter中,虽然并没有直接提供API供开发者使用,但和android原生一样,只有看下RichText的源
Linux下ELF文件的格式(1)
**【说明】本文章从本人的CSDN博客搬过来的,因个人感觉CSDN的博客系统太差,so,搬到这里。** 1.Linux下的可执行文件是什么格式? 2.假设我们有个文件 hello.c ,那么gcc hello.c 后输出什么,gcc  -c  hello.c 输出什么 ? 3.这些文件的内部是什么样子的? 这是我们的hello.c文件 #i
TabLayout布局,就是顶部的滑动栏,不用自己再去写了,很棒
在新看一个项目中,用到的TabLayout的,有段时间没写app了,去百度了一下。网上资料很多,很全,就不细写了,简单的说下用法。 转自 : https://www.jianshu.com/p/2b2bb6be83a8 上图是简书Android端的主页Tab,在其他的App中Tab也是很常见的,它的实现方式也有很多:TabHost,自定义控件(第三方库)