簡介

在逆向Android底層時，一般都或多或少的接觸so文件，需要逆向so文件，一般的方法是往so文件植入我們的調試的代碼；而通常都是通過添加section段來植入代碼；查看本篇文章之前你需要先了解elf文件格式，so文件就是采用這種格式的

簡單介紹elf文件格式

elf文件一般是由elf文件頭、program header頭（多個）、section段（多個）和section header頭（多個組成）。

program header

程序運行時，定位文件中各個段的位置，提供創建程序映像的具體信息；一個program header指向一個segment(運行時的稱呼)，而一個segement可能包含多個section 段

1.png

section header

執行之前描述文件結構的，理論上來說，Linux運行期間不需要section header頭的，可以刪掉；一個section header頭對應一個section 段，所以添加一個section段時還要添加一個section header頭

section段

section段是elf文件的主題，很多內容都保存在里面，包括我們熟悉的.text、.rodata、.data等等，還有我們不熟悉的.got(全局偏移表)、.plt（過程鏈接表）等等，這兩個表主要用于函數和全局變量的調用，可參考這個鏈接理解這兩個表，下面是展示部分的section header頭：

1.png

進入主題 -- 添加section字段

當ELF文件被加載到內存中后，系統會將多個具有相同權限（flg值）section合并一個segment。操作系統往往以頁為基本單位來管理內存分配，一般頁的大小為4096B，即4KB的大小。同時，內存的權限管理的粒度也是以頁為單位，頁內的內存是具有同樣的權限等屬性，并且操作系統對內存的管理往往追求高效和高利用率這樣的目標。ELF文件在被映射時，是以系統的頁長度為單位的，那么每個section在映射時的長度都是系統頁長度的整數倍，如果section的長度不是其整數倍，則導致多余部分也將占用一個頁。所以section段的位置和長度不是隨便添加的，要根據program header頭的align對齊方式來添加

確定添加位置

新加入的section一般是在文件末尾，但是這里不是真正的文件末尾，而是將文件加載到內存映像中的末尾，一般等于虛擬地址vaddr+占用空間大小memsiz，但是這樣還不行，還要做字節對其，我們知道文件末尾不等于映像末尾，一般這個映像末尾比文件末尾大，因為操作系統對內存都是以頁的粒度來操作的，所以我們添加section段要找到真正的映像末尾，操作系統會把program header的type為LOAD的段加入內存映像中，而LOAD類型的program header一般都是做升序排列，我們只需要取最后一個LOAD就可以，讓vaddr+memsiz在和align做對齊操作就能夠得到映像末尾，算法如下：

/**
     * 對其算法 --- 保證addr能被align整除，系統按align字節對齊的訪問方式
     * 返回一個addr是align的整數倍的值
     * @param addr：vaddr + memsi
     * @param align：對其的字節數
     * @return
     */
    public static int align(int addr, int align){
        if(align > addr){    //這種情況不好弄，我也不知道怎么辦
            return addr;
        }
        int offset = addr % align;
        return addr + (align-offset);
    }

1.png

添加section header頭

添加section header頭的目的是把5000H的表名和5010H的內容聯系起來；先看section header的結構:

typedef struct{
    Elf32_Word sh_name;
    Elf32_Word sh_type;
    Elf32_Word sh_flags;
    Elf32_Addr sh_addr;
    Elf32_Off  sh_offset;
    Elf32_Word sh_size;
    Elf32_Word sh_link;
    Elf32_Word sh_info;
    Elf32_Word sh_addralign;
    Elf32_Word sh_entsize;
}Elf32_Shdr;

sh_name : 是一個字符串表的索引偏移（5000H - 第一個字符串表的位置，第一個字符串表位置等于）

sh_addr和 sh_offset填上一個步驟得到的地址即可

sh_size： 就是我們填入的section長度

sh_type：SHT_PROGBITS 1 此節區包含程序定義的信息，其格式和含義都由程序來解釋。

sh_flags：

其他的幾個可以不用處理，以下是示例代碼：

public static byte[] addSectionHeader(byte[] src){
                /**
                 *  public byte[] sh_name = new byte[4];
                 public byte[] sh_type = new byte[4];
                 public byte[] sh_flags = new byte[4];
                 public byte[] sh_addr = new byte[4];
                 public byte[] sh_offset = new byte[4];
                 public byte[] sh_size = new byte[4];
                 public byte[] sh_link = new byte[4];
                 public byte[] sh_info = new byte[4];
                 public byte[] sh_addralign = new byte[4];
                 public byte[] sh_entsize = new byte[4];
                 */
                byte[] newHeader = new byte[sectionSize];

                //構建一個New Section Header
                newHeader = Utils.replaceByteAry(newHeader, 0, Utils.int2Byte(addSectionStartAddr - stringSectionOffset));
                newHeader = Utils.replaceByteAry(newHeader, 4, Utils.int2Byte(ElfType32.SHT_PROGBITS));                         //type=PROGBITS
                newHeader = Utils.replaceByteAry(newHeader, 8, Utils.int2Byte(ElfType32.SHF_ALLOC + ElfType32.SHF_WRITE));              //改字節區可以被寫入
                newHeader = Utils.replaceByteAry(newHeader, 12, Utils.int2Byte(addSectionStartAddr+0x10));                        //所代表的字節區其實地址
                newHeader = Utils.replaceByteAry(newHeader, 16, Utils.int2Byte(addSectionStartAddr+0x10));
                newHeader = Utils.replaceByteAry(newHeader, 20, Utils.int2Byte(newSectionSize));        //字節區大小
                newHeader = Utils.replaceByteAry(newHeader, 24, Utils.int2Byte(0));
                newHeader = Utils.replaceByteAry(newHeader, 28, Utils.int2Byte(0));
                newHeader = Utils.replaceByteAry(newHeader, 32, Utils.int2Byte(4));
                newHeader = Utils.replaceByteAry(newHeader, 36, Utils.int2Byte(0));

                //在末尾增加Section
                byte[] newSrc = new byte[src.length + newHeader.length];
                newSrc = Utils.replaceByteAry(newSrc, 0, src);
                newSrc = Utils.replaceByteAry(newSrc, src.length, newHeader);

                return newSrc;
        }

完善步驟

修改第一個LOAD的program header

將其filesize和memsiz改為文件的總長度

修改section header為.shstrta

將他的size在原有的基礎上加16即可，因為增加了一個section name

至此，完結，如果把so文件弄回去報了這個錯誤
load segment1: p_offset (0x0) + p_filesz (0x53f8) ( = 0x53f8) past end of file (0x53f8)
這是因為你剛剛添加的段的大小超出了文件大小，因為我們修改program header的filesize和memsize文件總長度，這個長度包括啦文件結束標志0x0a，我們要修改這兩個值為文件長度減去1即可