安全编译选项之 PIE和PIC的区别

1)、直接编译可执行文件 -fPIE
2)、直接编译成库 -fPIC
3)、先编成多个.o再链接成可执行文件 -fPIE
4)、先编成多个.o再链接成库 -fPIC
5)、先编成多个.o，链接类型不确定。这时候建议提供两个版本的中间件，一个是加-fPIE，另一个是加-fPIC

首先需要解释的是PIE是两步，编译选项为-fPIE, 链接选项为-pie，-fPIC只是编译选项。
PIC、PIE不能混用。
用PIE(fPIE)编译生成动态库，他不会为全局变量在GOT表中创建对应的条目，与PIC的作用矛盾，动态库时会被其他程序调用的，所以可以在调用时对GOT中的变量地址重定位来确定全局变量地址，
而PIE本身的目的不是生成共享库，而是生成位置无关的可执行程序，所以在连接时所有的变量都已经确定好了，包括全局的对外可见变量也默认视为程序内部变量。
因此，如果用PIE生成共享库，一旦存在全局对外可见的变量，一方面，作为共享库，该变量地址被期望是可重定位的，另一方面，作为可执行程序（PIE），该变量地址被期望是固定的，就会产生矛盾
在 x86 架构的测试里，如果用 -fPIC 编译的中间件.o用来链接成可执行文件，在性能上会有影响。
-fPIC消耗的性能比-fPIE的多 在支撑的案例中，PIE 和 PIC 的命令混用，造成程序（例如 luajit）运行崩溃或其他问题的个数不少了。在此建议正确区分使用

PIC：Position-Independent Code，译为“位置无关代码”。
在计算机系统中，PIC是可以在主存中不同位置执行的目标代码。PIC经常被用在共享库中，这样就能将相同的库代码为每个程序映射到一个位置，不用担心覆盖掉其他程序或共享库。

PIE：Position-Independent Executable，译为“位置无关可执行程序”。
它是完全由位置无关代码所组成的可执行二进制文件，有时可称为PIC Executable。它有一个显著的优点，那就是当程序加载时，所有PIE二进制文件以及它所有的依赖都会加载到虚拟内存空间中的随机位置（随机地址），可以有效提高他人通过绝对地址实施"return-to-libc"安全攻击的难度。

GOT：Global Offset Table。全局偏移量表。
它是数据字段的地址存储表。它被可执行程序用于查看全局变量的运行时地址，这些变量的地址在编译阶段是未知的。在进程引导阶段，动态链接器会更新GOT。