Android GOT Hook

最后介绍的这种hook方式原理比较简单，只需要将GOT表中的目标函数地址替换为我们自己的函数地址即可，但它的缺点是只能对导入函数进行hook，还需要对elf文件的结构有所了解。

一、获取到GOT表在内存中的地址

要得到GOT表在内存中的地址首先要解析elf文件，获取其在文件中的偏移地址，内存地址就等于基地址加上文件偏移。

在elf的section header table中名为.got的节头记录着GOT表在文件中的偏移，所以第一件事就是获取到.got节头中的信息。

1、获取到section header table的入口地址

 Elf32_Ehdr elf_header;
 memset(&elf_header, , sizeof(elf_header));
 fseek(fp, , SEEK_SET);
 fread(&elf_header, sizeof(elf_header), , fp);

文件指针fp对应打开的elf文件。结构体Elf32_Ehdr对应elf文件头，Elf32_Ehdr.e_shoff记录着节区头部表（section header table）在文件中的偏移。

2、获取字符串表

获取到section header table的起始地址后要通过名字来判断出哪一项为.got节头，这时就要用到字符串表。

 char* parse_string_table(FILE *fp)
 {
     Elf32_Ehdr elf_header;
     Elf32_Shdr elf_setion_header;
     memset(&elf_header, , sizeof(elf_header));
     memset(&elf_setion_header, , sizeof(elf_setion_header));
 　　//读取elf头
     fseek(fp, , SEEK_SET);
     fread(&elf_header, sizeof(elf_header), , fp);
     //字符串表头在节区头部表的第Elf32_Ehdr.e_shstrndx项
     //通过节区头部表偏移和每个节区头的大小可以算出字符串表节头的地址
     fseek(fp, elf_header.e_shoff + elf_header.e_shstrndx * elf_header.e_shentsize, SEEK_SET);
     fread(&elf_setion_header, sizeof(elf_setion_header), , fp);
     int size_string_table = elf_setion_header.sh_size;
     char *buffer = malloc(size_string_table);
     //通过字符串表节区头中记录的偏移地址读取字符串表
     fseek(fp, elf_setion_header.sh_offset, SEEK_SET);
     fread(buffer, size_string_table, , fp);
     return buffer;
 }

3、遍历节区头部表

遍历整个节区头部表，获取.got节区头，获取GOT表在文件中的偏移地址。

 void parse_got_table(FILE *fp, long *addr_got_table, long *size_got_table)
 {
     Elf32_Ehdr elf_header;
     Elf32_Shdr elf_secion_header;
     memset(&elf_header, , sizeof(elf_header));
     memset(&elf_secion_header, , sizeof(elf_secion_header));
     //读取elf头
     fseek(fp, , SEEK_SET);
     fread(&elf_header, sizeof(elf_header), , fp);
     //获取字符串表
     char *string_table = parse_string_table(fp);
     fseek(fp, elf_header.e_shoff, SEEK_SET);
     //遍历节区头部表
     for (int i = ; i < elf_header.e_shnum; ++i) {
         fread(&elf_secion_header, elf_header.e_shentsize, , fp);
         if (elf_secion_header.sh_type == SHT_PROGBITS
             &&  == strcmp(".got", string_table + elf_secion_header.sh_name)) {
             //返回GOT表偏移及大小
             *addr_got_table = elf_secion_header.sh_addr;
             *size_got_table = elf_secion_header.sh_size;
         }
     }
     free(string_table);
 }

4、获取elf文件在内存中的基址

在Linux系统中可以通过读取/proc/pid/maps来获取各个elf文件在内存中的加载基址。在之前的文章中已经反复用到，这里就不再重复了。

最后可以得到：GOT表内存地址 = elf文件内存基址 + GOT表文件偏移

二、修改GOT表中存放的导入函数的地址

知道GOT表在内存中的地址后我们就可以着手对其修改了，里边存放的全是外部符号地址（前三项有特殊作用，这里不做讨论），很显然每个表项占4个字节。接下来一个问题是我们怎么知道需要替换哪一个表项呢？如果我们知道需要hook的函数地址，就可以跟表里的地址进行逐一比对。如果是系统库中的函数，我们可以直接获取到函数地址，但如果是第三方库中的函数呢？我们可以借助dlsym函数。

void hook_got_make(const char *elf, const char *symbol, const char *library, void *func, void **old_func)
{
    FILE *file = fopen(elf, "rb");
    long addr_got_table;
    long size_got_table;
    parse_got_table(file, &addr_got_table, &size_got_table);
    fclose(file);
    void *handle = dlopen(library, RTLD_LAZY);
    void *target = dlsym(handle, symbol);
    dlclose(handle);
    long addr_base = get_module_addr(-, elf);
    for (int i = ; i < size_got_table; i += ) {
        if (*(uint32_t *)(addr_base + addr_got_table + i) == (uint32_t)target) {
            *old_func = target;
            write_code(addr_base + addr_got_table + i, (uint32_t)func);
        }
    }
}

首先通过dlopen加载symbol（目标函数名）所在的可执行文件，当然这个文件肯定之前就已经加载到内存中了。然后通过dlsym获取symbol对应的函数地址。

获取到地址后首先保存到old_func中，然后用我们的新地址覆盖GOT表中的原地址。注意在更改GOT表的内容时首先要将所在内存地址的属性设为可写。