[ROP 시리즈 (2)] PLT, GOT

🔁ROP 시리즈🔁

[ROP 시리즈 (1)] 라이브러리와 링크

[ROP 시리즈 (2)] PLT, GOT <-여기!

[ROP 시리즈 (3)] Return to Library 개념 및 실습

[ROP 시리즈 (4)] 드림핵(Dreamhack) - rop

 

---

지난 시간에 우리는 링크의 개념과 라이브러리에 대하여 알아보였다. 우리는 라이브러리를 함수의 정의들을 모아둔 도서관이라고 비유했다. 이때 정적링크는 도서관의 책들을 다 암기하는 것으로, 동적 링크는 필요할 때마다 도서관의 책을 참고하는 것으로 비유했다

오늘은 링크 중에서도 '동적 링크'과정에서 사용되는 PLT와 GOT에 대하여 다뤄볼 것이다 😊

 

간단한 코드를 작성하고 이를 컴파일하여 분석해볼 것이다

 

Address Space Layout Randomization(ASLR)은 바이너리가 실행될 때마다 스택, 힙, 공유 라이브러리 등을 임의의 주소에 할당하는 보호 기법이다.

 

ASLR가 적용된 환경에서 라이브러리를 동적으로 링크하여, 즉 runtime에서 동적으로 함수의 정의를 찾는 바이너리(Dynamically linked binary)는 바이너리가 실행될 때마다 라이브러리가 매핑되는 메모리의 주소가 변한다.

 

그렇다면 ASLR환경에서 어떻게 함수의 주소를 찾아내야하는지에 대한 문제가 생긴다. 이를 해결하기 위해 PLT와 GOT가 있는 것이다.

 

PLT는 함수의 실제 위치를 알아내는 과정을 하는 코드 덩어리이고, GOT는 PLT에서 알아낸 주소를 저장하는 테이블이라고 할 수 있다. GOT와 PLT의 주소는 정적이므로 얘네를 통해 실제 함수의 주소에 접근할 수 있다!

 

 

PLT (Procedure Linking Table) : 외부 프로시저를 연결해 주는 테이블. (코드가 들어있음)

PLT에서는 실제 함수의 위치를 찾아주는 역할을 한다.

예를 들어 우리가 puts 함수를 실행하려고 하면 puts를 call한 함수는 puts@plt 와 같은 주소로 call을 통해 점프한다.

그리고 plt 주소에서 하나하나 또 명령을 실행하게 된다.

 

직접 main+14에서 si를 통해 plt 안으로 들어가보자.

plt로 들어왔는데 다시 puts@got[plt]의 값을 참조하는 것을 볼 수 있다. 이처럼 PLT에서는 GOT라는 곳을 통해 함수의 실제 주소에 접근하게 된다. 여기서 puts@got[plt] 의 주소는 rip + 0x2fca 라는 것도 추측할 수 있다

따라서 어떤 함수 func의 실제주소를 모르더라도, func@plt의 주소를 안다면 똑같이 func를 실행할 수 있다.

 

GOT (Global Offset Table) : PLT가 참고하는 테이블. 실제 함수의 주소가 들어있다. (코드가 들어있지는 않음)

GOT에서는 실제 함수의 주소들을 가지고 있다. 마치 웹에서 호스트파일과 비슷한 느낌이다(모르면 넘어가도 된다)

그런데 조금 전의 명령어를 실행해보니 got가 아니라 puts@plt+6으로 이동한다! 

got명령어를 확인해 got에 무엇이 있나 확인해보니 아래와 같았다

보니 GOT의 첫줄에 jmp puts@plt+6으로 되어있기 때문이었다.

여기서 "GOT는 실제 함수가 들어있다고 하지 않았나요? 그런데 왜 PLT로 점프하나요?"라는 궁금증이 있을 수 있는데 그럼 잘 따라오고 있는 것이다 !! 이는 현재 우리가 실행하고 있는 프로그램이 puts 함수를 프로그램 내에서 '처음'으로 호출했기 때문이다. 첫번째로 함수를 호출할 때는 GOT에 아직 puts함수의 주소가 적혀있지 않다. 실제 puts함수의 주소는 puts함수 안에있는 _dl_runtime_resolve_fxsave라는 함수를 통해 구해진다. 그리고 이 함수가 GOT에 puts함수의 실제 위치를 적어준다. 이게 무슨소리죠? 할 수 있는데 이를 그림으로 나타내면 다음과 같다.

가져가실 때는 출처 꼭꼭 부탁드립니다 안그러면 찾아가서 화냄ㅎㅋㅎㅋㅎㅋ헤

함수의 주소를 찾아 실행하는 과정은 위와 같다.

다시 반복해서 위 글을 읽어보자. -> 첫번째로 함수를 호출할 때는 GOT에 아직 puts함수의 주소가 적혀있지 않다. 실제 puts함수의 주소는 puts함수 안에있는 _dl_runtime_resolve_fxsave라는 함수를 통해 구해진다. 그리고 이 함수가 GOT에 puts함수의 실제 위치를 적어준다. 그리고 다시 callee로 이동하게된다. 그리고 다시 calle에서 다음 코드들을 쫘르륵~ 실행한다. 

이후 다시 프로그램에서 puts를 호출하면 PLT가 GOT의 값을 참조했을 때(GOT의 코드를 실행하는건 아니다! GOT에는 코드가 없다! PLT에만 코드가 들어있다!!), 다시 plt+6로 돌아오지 않고 바로 puts 함수의 실제 위치로 점프하게 된다. 이제 이해가 되었을까?

 

이런 식으로 함수의 주소를 찾는 것을 우리는 Runtime Resolve라고 한다. 

 

정리하자면, 함수의 진짜 주소는 라이브러리 안에 있는데 ASLR로 인해 라이브러리 내의 주소가 랜덤화되기 때문에 PLT라는 걸 통해서 함수의 찐 주소를 알아내는 과정을 거치고, GOT에 그 값을 기록하여 나중에 똑같은 함수를 호출할 때에는 PLT가 GOT에 담겨있는 함수의 주소(라이브러리 내의 주소. PLT를 통해 아까 찾은 주소)로 점프하는 것이당

참고로 사용자가 직접 정의한 함수는 plt에 적히지 않는다! 또한 ASLR이 적용되어도 PLT 주소는 고정임을 기억하자(이를 통해 Return to PLT 공격을 할 수 있다!)

 

 

이제 두 번째로 puts를 호출해보자!

plt로 들어가보자!

들어와보면 오른쪽에 아예 puts라고 되어있는걸 볼 수 있다 GOT의 모습을 다시보면 아래와 같다.

 

아까와 다르게 GOT에 puts의 실제 위치 0x7ffff7e45820이 들어있는 것을 확인할 수 있다 !!

이런식으로 PLT에서는 바로 puts 함수의 실제 위치로 점프하게된다!

 

"따라서 PLT와 GOT 영역이 존재하는 이유는 Dynamically linked binary의 경우 바이너리가 실행되기 전까지 라이브러리 함수의 주소를 알 수 없기 때문이다. 라이브러리가 메모리에 매핑된 후 라이브러리 함수가 호출되면, 정적 주소를 통해 해당 함수의 PLT와 GOT 영역에 접근함으로써 함수의 주소를 찾는다" <- 출처 : https://haerinn.tistory.com/106

 

start할 때 got의 모습

main거의 다 끝났을 때 got의 모습

 

참고로 got 명령어가 안 통하는 gdb도 있는데, 이런 경우 objdump -R <실행파일이름> 명령어로 got를 추출할 수 있다.

 

시스템 해킹 관점에서 보면, PLT가 GOT의 값을 참조할 때 딱히 어떠한 검증 과정을 거치지 않기 때문에, GOT의 값을 다른 값으로 덮어쓰면 해커가 원하는 곳으로 점프할 수 있다. 이는 GOT Overwrite라고 하고 이는 ROP 시리즈 4탄에서 다룬다

 

이렇게 함수가 호출될때까지 함수 주소 딱히 안 구하고 호출됐을 때 구하는 방법을 Lazy Binding이라고 한다. 

Lazy Binding의 경우 실행 중에 GOT에 접근하여 쓰기 때문에 그 안에 들어있는 값이 바뀐다. 따라서 실행 중 GOT에 '쓰기 권한'이 들어있으므로 보안에 취약할 수 있다. 참고로 이는 Partial RELRO에 해당하는데 이는 다음에 다루도록 하겠다.

 

한편 Now binding은 프로그램 시작단계에서(컴파일 과정 말고!) 이미 GOT에다 다 값을 적어놓는 방식이어서 함수호출시에 딱히 다른 작업이 필요가 없다. 그리고 GOT에 들어있는 애들은 다 고정되어있다. 따라서 GOT에 쓰기 권한이 없어서 GOT Overwrite이 불가능하다!! 이것이 Full RELRO에 해당한다.

 

Full RELRO

그렇다면 Full RELRO가 적용되면 해킹은 불가능한 것일까? 또 아니다.. 우리의 해커들은 데이터세그먼트에 또 overwrite할 수 있는 다른 부분을 찾아냈다(집념 ㄷㄷ) 그 중 하나가 훅(Hook)이라고 하는데, 이는 데이터 세그먼트에 들어있는 변수이다. 훅 overwrite 에 대해서는 다음에 알아보도록 하겠다.

 

이외에도 워게임을 풀면서 FULL RELRO가 적용되어있을 때 아래 방법등을 이용할 수 있었다

• hook overwrite (glibc 2.34부터 제거)
• rtld overwrite
• system plt(혹은 onegadget)알아낸 후 rop 등..

 

찐 함수주소는 libc안에 있ㄷㅏ!

 

 

 

다음 글

[ROP 시리즈 (3)] Return to Library 개념 및 실습

[드림핵(Dreamhack)] Return to Library 개념 및 실습

 

---

참고할 만한 좋은 글들

https://dreamhack.io/lecture/courses/66

https://haerinn.tistory.com/106#2.%20%EC%A0%95%EB%A6%AC

[Pwnable] PLT, GOT

https://bpsecblog.wordpress.com/2016/03/07/about_got_plt_1/

PLT와 GOT 자세히 알기 1

https://shayete.tistory.com/entry/6-Return-Oriented-Programming

6. Return Oriented Programming (ROP)