从 shell 代码访问未链接的 libc 全局变量

Question

有没有办法找到 libc 中尚未链接到可执行文件中的全局变量的地址（因此不在 get/plt 中）？我想在 shell 代码中访问 __environ 全局变量。

到目前为止，网络搜索只找到了一种方法，首先从 plt 中的实体查找共享库中的偏移量，然后将偏移量添加到 plt 中的运行时值，以获取所需变量的运行时地址共享库。还有另一种不依赖于共享库版本的方法吗？

谢谢。

Answer 1

是否有另一种不依赖于共享库版本的方法？

不。

__environ 的地址可以通过多种方式轻松找到，除了“首先从 plt 中的实体查找共享库中的偏移量，然后将偏移量添加到 plt 中的运行时值”之外。 plt 获取所需变量的运行时地址”，但该地址将取决于libc.so.6的确切构建，并且会因版本而异（对于完全相同的 GLIBC 版本）来自发行版分发（例如不同的编译器会产生不同的结果）。

那么还有哪些其他方法可以找到这个地址呢？

您需要两件事：

1. libc.so.6 中变量的地址，由 nm 和 readelf 打印：

nm -D /usr/lib64/libc.so.6 | grep __environ
0000000000202d00 B __environ@@GLIBC_2.2.5

2. libc 的位置.so.6本身在给定的进程中，可以通过例如/proc/$pid/maps发现。

 grep libc.so.6 /proc/37/maps
7f34d2865000-7f34d2891000 r--p 00000000 08:10 67606                      /usr/lib64/libc.so.6
7f34d2891000-7f34d2a07000 r-xp 0002c000 08:10 67606                      /usr/lib64/libc.so.6
...

上面的输出告诉我，__environ应该位于进程37中的0x7f34d2865000+0x0000000000202d00。

gdb -q -p 37
...
(gdb) p/a 0x7f34d2865000+0x0000000000202d00
$1 = 0x7f34d2a67d00 <environ>

(gdb) p &__environ
$2 = (char ***) 0x7f34d2a67d00 <environ>

量子电子器件。

PS 还有其他方法可以发现 (1) - 您可以直接读取 .dynsym 而不使用 nm，以及 (2) - 您可以使用 dladdr( ) 在目标进程内。