PLT表和GOT表

原文链接： https://blog.csdn.net/qq_18661257/article/details/54694748

GOT表和PLT表在程序中的作用非常巨大，接下来的讲解希望大家可以仔细看看

我们用一个非常简单的例子来讲解，代码如下: 
图1

然后我们编译

我们直接 gdb./a.out 来进行反编译处理，然后通过disas main查看main函数中的反编译代码如下：

图3

我们可以观察到 gets@plt 和 puts@plt 这两个函数，为什么后面加了个 @plt ，因为这个为 PLT 表中的数据的地址。那为什么反编译中的代码地址为 PLT 表中的地址呢。

原因

为了更好的用户体验和内存CPU的利用率，程序编译时会采用两种表进行辅助，一个为PLT表，一个为GOT表，PLT表可以称为内部函数表，GOT表为全局函数表（也可以说是动态函数表这是个人自称），这两个表是相对应的，什么叫做相对应呢，PLT表中的数据就是GOT表中的一个地址，可以理解为一定是一一对应的，如下图：

图4

PLT表中的每一项的数据内容都是对应的GOT表中一项的地址这个是固定不变的，到这里大家也知道了PLT表中的数据根本不是函数的真实地址，而是GOT表项的地址。

其实在大家进入带有@plt标志的函数时，这个函数其实就是个过渡作用，因为 GOT 表项中的数据才是函数最终的地址，而PLT表中的数据又是 GOT 表项的地址，我们就可以通过PLTPLT表跳转到 GOT 表来得到函数真正的地址。

那问题来了，这个 @plt 函数时怎么来的，这个函数是编译系统自己加的，大家可以通过disas gets看看里面的代码，如下图：

图5

大家可以发现，这个函数只有三行代码，第一行跳转，第二行压栈，第三行又是跳转，解释： 
第一行跳转，它的作用是通过 PLT 表跳转到 GOT 表，而在第一次运行某一个函数之前，这个函数 PLT 表对应的 GOT 表中的数据为 @plt 函数中第二行指令的地址，针对图中来说步骤如下：

jmp指令跳转到GOTGOT表
GOTGOT表中的数据为0x4004860x400486
跳转到指令地址为0x4004860x400486
执行push 0x3#这个为在GOTGOT中的下标序号
在执行jmp 0x400440
而0x4004400x400440为PLT[0]PLT[0]的地址
PLT[0]PLT[0]的指令会进入动态链接器的入口
执行一个函数将真正的函数地址覆盖到GOTGOT表中

这里我们要提几个问题： 
1. PLT[0]PLT[0]处到底做了什么，按照我们之前的思路它不是应该跳转到GOT[0]GOT[0]吗？ 
2. 为什么中间要进行pushpush压栈操作？ 
3. 压入的序号为什么为0x30x3，不是最开始应该为0x00x0吗？

解决问题

问题1

图6

我们尝试着查看0x400440地址的数据内容发现一个问题，从0x400440−0x400450之间的数据完全不知道是什么，而真正的PLT[x]中的数据是从0x400450开始的，从这里才有了@plt为后缀的地址，但是我们disas gets看代码的时候是从0x400440开始的，我们可以通过x /5i 0x400440查看0x400440处的代码，如下： 
图7

我们看到了后面的#之后又一个16进制数，一看便可以知道是GOT表的地址，为什么这么肯定呢，因为我们可以通过objdump -R ./a.out查看一个程序的GOT函数的地址，如下图： 
图8

这里都是些GOT地址，我们发现都是0x601...这些，所以可以断定图7中的也是GOT地址，那么我们可以猜想出，在正式存储一个函数的GOT地址前，我们的PLT表前面有一项进行一些处理，我们暂且不具体深入剖析这些代码有什么用，但是我们可以肯定puts@plt前面那16个字节也算是PLT表中的内容，这其实就是我们的PLT[0]，正如我们之前问题提到的那样，我们的PLT[0]根本没有跳转到GOT[0]，它不像我们的PLT[1]这些存储的是GOT表项的地址，它是一些代码指令，换句话说，PLT[0]是一个函数，这个函数的作用是通过GOT[1]和GOT[2]来正确绑定一个函数的正式地址到GOT表中来。

咦，这里问题好像又产生了，本来按照最开始的思路PLT[1]也是跳转到GOT[1]的，GOT[2]同理，但是这两个数据好像被PLT[0]利用了，同时GOT[0]好像消失了，这里GOT[0]暂且不说它的作用是什么，针对GOT[1]和GOT[2]被PLT[0]利用，所以我们程序中真实情况其实是从PLT[1]到GOT[3],PLT[2]到GOT[4]，所以我们推翻了我们的图4，建立一张新的处理表

图9

而plt[0]代码做的事情则是：由于GOT[2]中存储的是动态链接器的入口地址，所以通过GOT[1]中的数据作为参数，跳转到GOT[2]所对应的函数入口地址，这个动态链接器会将一个函数的真正地址绑定到相应的GOT[x]中。

这就是PLT表和GOT表，总而言之，我们调用一个函数的时候有两种方法，一个是通过PLT表调用，一个则是通过GOT表调用，因为PLT表最终也是跳转GOT表，GOT表中则是一个函数真正的地址，这里需要注意的是，在一个函数没有运行一次之前，GOT表中的数据为@plt函数中下一条指令的地址，图55有说。

问题2

中间进行的压栈是为了确定PLT对应的GOT表项，即是PLT[1]−>GOT[3]，0x3就是GOT的下标3，也就是说压栈后我们跳转到PLT[0],接着PLT[0]中的指令会通过这次压栈的序号来确定操作的GOT表项为多少

问题3

好像都在第一个问题都已经解决了，这里压入0x30x3的原因是因为，我们的GOT[0]GOT[0],GOT[1]GOT[1],GOT[2]GOT[2]都有额外用处。要从GOT[3]GOT[3]开始