So文件添加Section段详细说明

简介

在逆向Android底层时，一般都或多或少的接触so文件，需要逆向so文件，一般的方法是往so文件植入我们的调试的代码；而通常都是通过添加section段来植入代码；查看本篇文章之前你需要先了解elf文件格式，so文件就是采用这种格式的

简单介绍elf文件格式

elf文件一般是由elf文件头、program header头（多个）、section段（多个）和section header头（多个组成）。

program header

程序运行时，定位文件中各个段的位置，提供创建程序映像的具体信息；一个program header指向一个segment(运行时的称呼)，而一个segement可能包含多个section 段

1.png

section header

执行之前描述文件结构的，理论上来说，Linux运行期间不需要section header头的，可以删掉；一个section header头对应一个section 段，所以添加一个section段时还要添加一个section header头

section段

section段是elf文件的主题，很多内容都保存在里面，包括我们熟悉的.text、.rodata、.data等等，还有我们不熟悉的.got(全局偏移表)、.plt（过程链接表）等等，这两个表主要用于函数和全局变量的调用，可参考这个链接理解这两个表，下面是展示部分的section header头：

1.png

进入主题 -- 添加section字段

当ELF文件被加载到内存中后，系统会将多个具有相同权限（flg值）section合并一个segment。操作系统往往以页为基本单位来管理内存分配，一般页的大小为4096B，即4KB的大小。同时，内存的权限管理的粒度也是以页为单位，页内的内存是具有同样的权限等属性，并且操作系统对内存的管理往往追求高效和高利用率这样的目标。ELF文件在被映射时，是以系统的页长度为单位的，那么每个section在映射时的长度都是系统页长度的整数倍，如果section的长度不是其整数倍，则导致多余部分也将占用一个页。所以section段的位置和长度不是随便添加的，要根据program header头的align对齐方式来添加

确定添加位置

新加入的section一般是在文件末尾，但是这里不是真正的文件末尾，而是将文件加载到内存映像中的末尾，一般等于虚拟地址vaddr+占用空间大小memsiz，但是这样还不行，还要做字节对其，我们知道文件末尾不等于映像末尾，一般这个映像末尾比文件末尾大，因为操作系统对内存都是以页的粒度来操作的，所以我们添加section段要找到真正的映像末尾，操作系统会把program header的type为LOAD的段加入内存映像中，而LOAD类型的program header一般都是做升序排列，我们只需要取最后一个LOAD就可以，让vaddr+memsiz在和align做对齐操作就能够得到映像末尾，算法如下：

/**
     * 对其算法 --- 保证addr能被align整除，系统按align字节对齐的访问方式
     * 返回一个addr是align的整数倍的值
     * @param addr：vaddr + memsi
     * @param align：对其的字节数
     * @return
     */
    public static int align(int addr, int align){
        if(align > addr){    //这种情况不好弄，我也不知道怎么办
            return addr;
        }
        int offset = addr % align;
        return addr + (align-offset);
    }

1.png

添加section header头

添加section header头的目的是把5000H的表名和5010H的内容联系起来；先看section header的结构:

typedef struct{
    Elf32_Word sh_name;
    Elf32_Word sh_type;
    Elf32_Word sh_flags;
    Elf32_Addr sh_addr;
    Elf32_Off  sh_offset;
    Elf32_Word sh_size;
    Elf32_Word sh_link;
    Elf32_Word sh_info;
    Elf32_Word sh_addralign;
    Elf32_Word sh_entsize;
}Elf32_Shdr;

sh_name : 是一个字符串表的索引偏移（5000H - 第一个字符串表的位置，第一个字符串表位置等于）

sh_addr和 sh_offset填上一个步骤得到的地址即可

sh_size： 就是我们填入的section长度

sh_type：SHT_PROGBITS 1 此节区包含程序定义的信息，其格式和含义都由程序来解释。

sh_flags：

名称	取值	意义
SHF_WRITE	0x1	节区包含进程执行过程中将可写的数据
SHF_ALLOC	0x2	节区在进程执行过程中占用内存。某些控制节区并不出现于目标文件的内存映像中，对于那些节区，此位应设置为 0
SHF_EXECINSTR	0x4	节区包含可执行的机器指令
SHF_MASKPROC	0xF0000000	所有包含于此掩码中的四位都用于处理器专用的语义

其他的几个可以不用处理，以下是示例代码：

public static byte[] addSectionHeader(byte[] src){
                /**
                 *  public byte[] sh_name = new byte[4];
                 public byte[] sh_type = new byte[4];
                 public byte[] sh_flags = new byte[4];
                 public byte[] sh_addr = new byte[4];
                 public byte[] sh_offset = new byte[4];
                 public byte[] sh_size = new byte[4];
                 public byte[] sh_link = new byte[4];
                 public byte[] sh_info = new byte[4];
                 public byte[] sh_addralign = new byte[4];
                 public byte[] sh_entsize = new byte[4];
                 */
                byte[] newHeader = new byte[sectionSize];

                //构建一个New Section Header
                newHeader = Utils.replaceByteAry(newHeader, 0, Utils.int2Byte(addSectionStartAddr - stringSectionOffset));
                newHeader = Utils.replaceByteAry(newHeader, 4, Utils.int2Byte(ElfType32.SHT_PROGBITS));                         //type=PROGBITS
                newHeader = Utils.replaceByteAry(newHeader, 8, Utils.int2Byte(ElfType32.SHF_ALLOC + ElfType32.SHF_WRITE));              //改字节区可以被写入
                newHeader = Utils.replaceByteAry(newHeader, 12, Utils.int2Byte(addSectionStartAddr+0x10));                        //所代表的字节区其实地址
                newHeader = Utils.replaceByteAry(newHeader, 16, Utils.int2Byte(addSectionStartAddr+0x10));
                newHeader = Utils.replaceByteAry(newHeader, 20, Utils.int2Byte(newSectionSize));        //字节区大小
                newHeader = Utils.replaceByteAry(newHeader, 24, Utils.int2Byte(0));
                newHeader = Utils.replaceByteAry(newHeader, 28, Utils.int2Byte(0));
                newHeader = Utils.replaceByteAry(newHeader, 32, Utils.int2Byte(4));
                newHeader = Utils.replaceByteAry(newHeader, 36, Utils.int2Byte(0));

                //在末尾增加Section
                byte[] newSrc = new byte[src.length + newHeader.length];
                newSrc = Utils.replaceByteAry(newSrc, 0, src);
                newSrc = Utils.replaceByteAry(newSrc, src.length, newHeader);

                return newSrc;
        }

完善步骤

修改第一个LOAD的program header

将其filesize和memsiz改为文件的总长度

修改section header为.shstrta

将他的size在原有的基础上加16即可，因为增加了一个section name

至此，完结，如果把so文件弄回去报了这个错误
load segment1: p_offset (0x0) + p_filesz (0x53f8) ( = 0x53f8) past end of file (0x53f8)
这是因为你刚刚添加的段的大小超出了文件大小，因为我们修改program header的filesize和memsize文件总长度，这个长度包括啦文件结束标志0x0a，我们要修改这两个值为文件长度减去1即可