【学习记录】Week2（一）：深入 ELF 结构视图与 .got/.plt 节区作用详解-尧图网络科技

写在前面：进入 Week2，我们需要把目光从宏观的保护机制下沉到微观的文件结构中。在平时用readelf或objdump分析二进制时，我们经常会看到“节区”和“段”这两个词。它们到底有啥区别？我们天天喊的“打 GOT 表”，GOT 表到底在文件结构的哪个位置？本文将为你彻底讲透。

📑 目录

ELF 双视图：节区与段的本质区别
核心节区速览
动态链接的枢纽：.plt 与 .got 详解
PWN 视角：为什么要区分 .got 和 .got.plt？

1. ELF 双视图：节区与段的本质区别

ELF (Executable and Linkable Format) 文件可以从两个不同的维度来看待：链接视图和执行视图。这也是节区和段的最根本区别。

1.1 链接视图（节区 Section）

服务对象：链接器。
作用：链接器需要知道代码放在哪、数据放在哪、符号表在哪。因此 ELF 被划分成了无数个细分的“节区”。
特点：粒度极细。比如.text（代码）、.data（已初始化全局变量）、.bss（未初始化全局变量）都是独立的节区。

1.2 执行视图（段 Segment）

服务对象：操作系统的程序加载器。
作用：加载器在把程序载入内存时，不需要知道.text和.rodata的区别，它只关心“这块内存需要可读可执行，那块内存需要可读可写”。为了节约内存页的开销，加载器会将多个属性相同的节区合并成一个“段”来加载。
特点：粒度较粗。

💡 假设性说明（模拟readelf输出）：
假设我们在终端输入readelf -l vuln（查看段信息），你会在输出中看到类似这样的对照关系：

Section to Segment mapping: Segment Sections... 00 .interp 01 .interp .note.gnu.property .note.ABI-tag ... 02 .init .plt .plt.got .text .fini <-- 合并成了可执行段 03 .rodata .eh_frame_hdr .eh_frame <-- 合并成了只读段 04 .init_array .fini_array .dynamic .got .data .bss <-- 合并成了可读写段

从上面的模拟输出可以直观看到：.plt、.text被打包在一起执行；而.got、.data被打包在一起读写。节区是逻辑划分，段是物理装载。

2. 核心节区速览

在 PWN 中，我们最常打交道的几个节区如下：

节区名称	说明	PWN 关注度
`.text`	存放程序编译后的机器指令。通常只读可执行。	⭐⭐⭐ (找 ROP Gadget、后门函数)
`.bss`	存放未初始化的全局/静态变量。运行时在内存中分配并清零。	⭐⭐ (ret2shellcode 或堆利用占位)
`.data`	存放已初始化的全局/静态变量。	⭐⭐ (查数据)
`.rodata`	只读数据，比如字符串常量`"/bin/sh"`。	⭐⭐⭐ (找`/bin/sh`地址)
`.got`/`.plt`	动态链接跳板与地址表。	⭐⭐⭐⭐⭐ (核心攻击目标)

3. 动态链接的枢纽：.plt 与 .got 详解

在 Week1 我们讲过“懒绑定”机制，程序在第一次调用外部函数时才去寻找真实地址。这个过程就是靠.plt和.got配合完成的。

3.1 .plt (过程链接表)

属性：属于代码段，可读可执行（通常不可写）。
作用：它是一段段极其精简的跳板代码。程序中call printf，实际上汇编是call printf@plt。
内部结构：每个外部函数在.plt中都有一个小项（比如 16 字节）。它的核心逻辑是：“去.got表里查地址并跳转过去”。

3.2 .got (全局偏移表)

属性：属于数据段，可读可写（除非开启了 Full RELRO）。
作用：它本质上是一个指针数组。每个表项占 4 字节（32位）或 8 字节（64位），用来存放外部函数在 libc 中的真实绝对地址。

4. PWN 视角：为什么要区分 .got 和 .got.plt？

用readelf -S查看节区时，你可能会发现有两个长得像 GOT 的东西：.got和.got.plt。它们有什么区别？

4.1`.got`

这个表主要用于存放全局变量的地址（比如引用其他动态库中的全局变量）。在 PWN 中较少直接作为主要攻击目标。

4.2`.got.plt`(重点中的重点)

这个表专门用于存放外部函数的真实地址（如puts,system,gets）。这就是我们常说的“打 GOT 表”的那个表。

.got.plt表的特殊结构（前 3 项是特殊数据）：

第一项：存放.dynamic节的地址（动态链接器使用）。
第二项：存放link_map结构的地址（动态链接器使用）。
第三项：存放动态链接解析函数_dl_runtime_resolve的地址。
第四项及以后：才是我们熟悉的puts@got、gets@got等。

4.3 攻击逻辑复盘

在 Partial RELRO（部分保护）下，.got.plt是可写的。

程序调用puts，第一次执行时，动态链接器找到puts在 libc 的地址，比如0x7ffff7a649c0，然后把这个地址写入.got.plt表中puts对应的表项里。
下次再调用puts，程序直接从.got.plt读出0x7ffff7a649c0并跳转。
攻击发生：如果我们通过栈溢出或格式化字符串漏洞（任意地址写），把.got.plt表中puts的表项内容，篡改成system函数的地址0x7ffff7a4c440。
程序再次执行puts("hello")时，去.got.plt读地址，读出的是system的地址，于是实际执行了system("hello")。