ret2plt

1. PLTとGOT
@fmirx0723

2. PLT (Procedure Linkage Table)
コード領域内にあるセクション
外部関数を呼び出すとき，PLTセク
ション対応するエントリのアドレ
スにジャンプする
PLTセクションの各エントリには，
それに対応するGOTセクションの
エントリが指すアドレスに飛ぶ
コードが配置されている
2021/5/12
Rits Security Team
2
.hoge
code
heap
data
libc
stack
.plt
.text
section
.got

3. PLT (Procedure Linkage Table)
PLTのエントリを見てみる
2021/5/12
Rits Security Team
3
これらの関数シンボルは，pltセク
ションにエントリを持つ

4. GOT (Global Offset Table)
データ領域内のセクション
初期は，その関数のシンボル解決の
ためのコードを指すアドレスが格納
されている
シンボル解決後，その関数本体への
アドレスが格納される
2021/5/12
Rits Security Team
4
.hoge
code
heap
data
libc
stack
.plt
.text
.got

5. GOT (Global Offset Table)
2021/5/12
Rits Security Team
5
gef : gdbのプラグイン
pedaでいい感じに見る方法が分からないので
名前解決のためのコードを指すアドレス

6. PLTとGOT 全体像
https://nuc13us.wordpress.com/2015/12/25/hack-using-global-offset-table/
2021/5/12
Rits Security Team
6
名前解決前 名前解決後

7. PLTとGOTを使う理由
巨大なPIE形式のオブジェクトを結合するとき，実行時にシン
ボルの名前解決していると，プログラムの起動に時間がかかる
この問題を遅延リンクを用いて解決する
遅延リンク：
プログラムの実行時に外部関数の名前解決をせず，呼び出されたと
きに名前解決をする
遅延リンクのための機構としてPLTとGOTが存在する
名前解決の詳しい詳細は, ret2dl_resolve 回で
2021/5/12
Rits Security Team
7

8. ret2plt
pltセクションにエントリを持つ関数は，libcのアドレスをリー
クさせなくてもコード領域のアドレスから呼び出せる
2021/5/12
Rits Security Team
8
AAAA PLT
jmp *GOT
addr of func in plt
return from func
arg[1]
arg[2]
stack
GOT
addr of func
libc
func:
…
…

9. ret2pltの例 題材
2021/5/12
Rits Security Team
9

10. ret2pltの例 解析
2021/5/12
Rits Security Team
10

11. ret2pltの例 方針
2021/5/12
Rits Security Team
11

12. ret2pltの例 エクスプロイト
2021/5/12
Rits Security Team
12