編譯時的PLT和GOT關係圖

前幾篇文章一直在討論PLT和GOT的結構細節，編譯完成之後，PLT和GOT的對應關係是怎麼樣的呢，下面是編譯完成之後，PLT和GOT關係圖。

圖中重點標註了從呼叫printf函式語句的彙編指令call [email protected]跳轉過程，圖中使用編號來表標跳轉順序。

PLT表結構有以下特點：

1. PLT表中的第一項為公共表項，剩下的是每個動態庫函式為一項（當然每項是由多條指令組成的，jmp *0xXXXXXXXX這條指令是所有plt的開始指令）
2. 每項PLT都從對應的GOT表項中讀取目標函式地址

GOT表結構有以下特點：

1. GOT表中前3個為特殊項，分別用於儲存 .dynamic段地址、本映象的link_map資料結構地址和_dl_runtime_resolve函式地址；但在編譯時，無法獲取知道link_map地址和_dl_runtime_resolve函式地址，所以編譯時填零地址，程序啟動時由動態連結器進行填充
2. 3個特殊項後面依次是每個動態庫函式的GOT表項

如果將PLT和GOT抽象起來描述，可以寫成以下的虛擬碼：

plt[0]:
  pushl got[1]
  jmp  *got[2]

plt[n]:                // n >= 1
  jmp *got[n+2
 
]        // GOT前3項為公共項，第3項開始才是函式項，plt[1]對應的GOT[3]，依次類推
  push (n-1)*8
  jmp plt[0]

got[0]  = address of .dynamic section
got[1]  = address of link_map object( 編譯時填充0）
got[2]  = address of _dl_runtime_resolve function (編譯時填充為0)
got[n+2]  = plt[n] + 6 (即plt[n]程式碼片段的第二條指令）

程序起動後的GOT表

PLT屬於程式碼段，在程序載入和執行過程都不會發生改變，PLT指向GOT表的關係在編譯時已完全確定，唯一能發生變化的是GOT表。

Linux載入程序時，通過execve系統呼叫進入核心態，將映象載入到記憶體，然後返回使用者態執行。返回使用者態時，它的控制權並不是交給可執行檔案，而是給動態連結器去完成一些基礎的功能，比如上述的GOT[1]，GOT[2]的填寫就是這個階段完成的。下圖是動態連結器填完GOT[1]，GOT[2]後的GOT圖：

估計大家比較好奇的是，動態連結器怎麼知道GOT的首地址？這個祕密就藏在ELF的.dynamic段裡面，詳見下面readelf -d test輸出結果中的PLTGOT項：

[email protected]:~/test/test$ readelf -d test

Dynamic section at offset 0x600 contains 24 entries:
  Tag        Type                         Name/Value
 0x00000001 (NEEDED)                     Shared library: [libc.so.6]
 0x0000000c (INIT)                       0x8048274
 0x0000000d (FINI)                       0x8048488
 0x00000019 (INIT_ARRAY)                 0x80495f4
 0x0000001b (INIT_ARRAYSZ)               4 (bytes)
 0x0000001a (FINI_ARRAY)                 0x80495f8
 0x0000001c (FINI_ARRAYSZ)               4 (bytes)
 0x00000004 (HASH)                       0x8048168
 0x00000005 (STRTAB)                     0x80481e0
 0x00000006 (SYMTAB)                     0x8048190
 0x0000000a (STRSZ)                      74 (bytes)
 0x0000000b (SYMENT)                     16 (bytes)
 0x00000015 (DEBUG)                      0x0
 0x00000003 (PLTGOT)                     0x80496ec
 0x00000002 (PLTRELSZ)                   24 (bytes)
 0x00000014 (PLTREL)                     REL
 0x00000017 (JMPREL)                     0x804825c
 0x00000011 (REL)                        0x8048254
 0x00000012 (RELSZ)                      8 (bytes)
 0x00000013 (RELENT)                     8 (bytes)
 0x6ffffffe (VERNEED)                    0x8048234
 0x6fffffff (VERNEEDNUM)                 1
 0x6ffffff0 (VERSYM)                     0x804822a
 0x00000000 (NULL)                       0x0

其實.dynamic段還藏著很多其它資訊，都是跟動態執行相關的資訊，有興趣的讀者可以自行分析，這裡不詳細介紹。

動態重定位執行過程

Linux 動態連結器提供動態重位功能，所有外部函式只有呼叫時才做重定位，實現延遲繫結功能。下面是以呼叫puts函式為例畫出了整個動態重定位的執行過程：

在 _dl_runtime_resolve函式內完成puts符號查詢後，將該函式地址地址重定位到對應的GOT表項，並呼叫。

重定位之後的呼叫

GOT表項已完成重定位的情況下，PLT利用GOT表直接呼叫到真實的動態庫函式，下面puts函式的呼叫過程：

總結

對於PLT和GOT的原理，一共分享了以下知識點：
1. 為什麼會有PLT和GOT表，它完成什麼功能
2. Linux如何通過 PLT和GOT表配合，完成延遲重定位功能
3. PLT和GOT的結構是怎麼樣的，並且介紹每種場景下PLT的執行過程

關於PLT/GOT的基本知識寫到這樣就有清晰的認識了，但是Linux還有其它場景也會使用PLT/GOT，以後遇到時再展開討論。

最後，本系列文章所有二進位制分析，都是基於以下程式碼編譯出來的可執行檔案（32位）進行分析。

#include <stdio.h>

void print_banner()
{
    printf("Welcome to World of PLT and GOT\n");
}

int main(void)
{
    print_banner();

    return 0;
}