【初阶逆向】初探so层~更适合新手宝宝的教程

零星0523

适用人群：适用于想要入门so层逆向的人


本次学习知识点：
1.什么是so文件？它的格式是什么
2.了解导入表和导出表
3.学会基础NDK开发，为ida逆向打下基础

温馨提示：观看本贴时开电脑模式会有更好的观感哦

话不多说，开始教程吧

什么是so文件？它的结构是什么？我们该怎么解析

so其实就是ELF可执行文件，所以，我们需要了解ELF文件是什么
ELF文件的基本结构，其主要由四部分组成：

[td]

ELF Header	ELF文件头	文件开头	存储ELF文件类型（可执行、共享库等）、目标架构、入口地址、Program Header 表和 Section Header 表的位置等关键信息
Program Header Table	程序头表	ELF Header指定位置	描述可执行时所需的段（Segment），如代码段、数据段等，告诉操作系统如何创建进程的虚拟内存映射
Sections	节（代码/数据）	文件中间部分	存储实际的代码、数据、符号表、字符串表等内容。每个Section负责一种类型的内容，不一定参与加载，但常用于链接或调试
Section Header Table	节头表	ELF Header指定位置	描述每个Section的名字、类型、大小、位置等信息，供链接器、调试器等工具使用，不参与程序执行

ELF 文件结构
我们可以使用010editor来解析so文件结构并观察（如何使用呢？）
在菜单栏中点击 Templates -> Template Repository
搜索ELF并选择ELF.bt。下载它，随后Templates -> Run Template，选择 ELF.bt
我们就可以看到一个ELF的文件结构啦
可以看到，下框有刚刚我们说的五个部分，我们先看ELF Header部分
[td]

字段名称	偏移量（十六进制）	大小（字节）	有什么用
e_ident	0x00	16	魔数、类（32/64位）、字节序等基础标识信息
e_type	0x10	2	文件类型（如可执行文件、重定位文件、共享对象等）
e_machine	0x12	2	指定目标机器架构（如x86、ARM等）
e_version	0x14	4	版本号（通常为1）
e_entry	0x18	4/8	程序入口地址（执行开始的位置）
e_phoff	0x1C / 0x20	4/8	程序头表（Program Header Table）在文件中的偏移量
e_shoff	0x20 / 0x28	4/8	节头表（Section Header Table）在文件中的偏移量
e_flags	0x24 / 0x30	4	与处理器相关的标志
e_ehsize	0x28 / 0x34	2	ELF Header 本身的大小（一般为52或64字节）
e_phentsize	0x2A / 0x36	2	每个程序头表项的大小
e_phnum	0x2C / 0x38	2	程序头表中表项的数量
e_shentsize	0x2E / 0x3A	2	每个节头表项的大小
e_shnum	0x30 / 0x3C	2	节头表中表项的数量
e_shstrndx	0x32 / 0x3E	2	节头字符串表的索引

之后我们可以回到开头可以看到，一个so文件是以ELF文件开头，而这就是ELF魔数了

什么是魔数？

ELF魔数
每种可执行文件的格式的开头几个字节都是很特殊的，特别是开头4个字节，通常被称为魔数（Magic Number）。通过对魔数的判断可以确定文件的格式和类型。如：ELF的可执行文件格式的头4个字节为0x7F、e、l、f；Java的可执行文件格式的头4个字节为c、a、f、e；如果被执行的是Shell脚本或perl、python等解释型语言的脚本，那么它的第一行往往是#!/bin/sh或#!/usr/bin/perl或#!/usr/bin/python，此时前两个字节#和!就构成了魔数，系统一旦判断到这两个字节，就对后面的字符串进行解析，以确定具体的解释程序路径。


ELF文件类型
ELF文件主要有三种类型，可以通过ELF Header中的e_type成员进行区分。
可重定位文件（Relocatable File）：ETL_REL。一般为.o文件。可以被链接成可执行文件或共享目标文件。静态链接库属于可重定位文件。
可执行文件（Executable File）：ET_EXEC。可以直接执行的程序。
共享目标文件（Shared Object File）：ET_DYN。一般为.so文件。有两种情况可以使用。链接器将其与其他可重定位文件、共享目标文件链接成新的目标文件；
动态链接器将其与其他共享目标文件、结合一个可执行文件，创建进程映像。 （感兴趣的可以自己查看一下加深印象）


ELF Section Header Table
ELF 文件中的 Section Header Table（节头表） 是描述每个 Section（节）信息的一个结构数组，它存在于所有的 ELF 文件中（包括 .so、.o、可执行文件）。
每个节（Section）包含一类特定的数据，例如代码、符号表、字符串表、调试信息等，Section Header Table 就是描述这些节的元信息的集合。

32 位 ELF 文件中，Elf32_Shdr 的定义如下（64 位结构类似）：

1. typedef struct {
   
2.     uint32_t sh_name;      // 节名称的字符串表索引
   
3.     uint32_t sh_type;      // 节的类型（SHT_PROGBITS 等）
   
4.     uint32_t sh_flags;     // 属性标志（可读、可写、可执行等）
   
5.     uint32_t sh_addr;      // 在内存中的虚拟地址
   
6.     uint32_t sh_offset;    // 文件中的偏移地址
   
7.     uint32_t sh_size;      // 大小（字节）
   
8.     uint32_t sh_link;      // 与其他节的链接（如关联的符号表）
   
9.     uint32_t sh_info;      // 补充信息
   
10.     uint32_t sh_addralign; // 对齐要求
    
11.     uint32_t sh_entsize;   // 如果节中包含固定大小条目，此为每条目大小
    
12. } Elf32_Shdr;

复制代码

typedef struct {    uint32_t sh_name;      // 节名称的字符串表索引    uint32_t sh_type;      // 节的类型（SHT_PROGBITS 等）    uint32_t sh_flags;     // 属性标志（可读、可写、可执行等）    uint32_t sh_addr;      // 在内存中的虚拟地址    uint32_t sh_offset;    // 文件中的偏移地址    uint32_t sh_size;      // 大小（字节）    uint32_t sh_link;      // 与其他节的链接（如关联的符号表）    uint32_t sh_info;      // 补充信息    uint32_t sh_addralign; // 对齐要求    uint32_t sh_entsize;   // 如果节中包含固定大小条目，此为每条目大小} Elf32_Shdr;
节类型（sh_type）节名是一个字符串，只是在链接和编译过程中有意义，但它并不能真正地表示节的类型。对于编译器和链接器来说，主要决定节的属性是节的类型（sh_type）和节的标志位（sh_flags）。节的类型相关常量以SHT_开头
常见的节类型如下表所示
[td]

十进制值	宏定义名	描述说明
0	SHT_NULL	无效节头项（一般是第一个，表示未使用）
1	SHT_PROGBITS	程序代码或数据段，如 .text、.data
2	SHT_SYMTAB	静态符号表（含函数名、变量名等，调试使用）
3	SHT_STRTAB	字符串表，提供节名、符号名等字符串
4	SHT_RELA	重定位表，带显式 addend（偏移修正值）
5	SHT_HASH	符号哈希表，用于动态链接
6	SHT_DYNAMIC	动态链接信息，供动态加载器使用
7	SHT_NOTE	附加注释/元数据（如 Android ABI、Build ID）
8	SHT_NOBITS	不占用实际文件空间的节，如 .bss
9	SHT_REL	重定位表，不带 addend
10	SHT_SHLIB	保留，暂未使用
11	SHT_DYNSYM	动态符号表（给动态链接器用，包含全局符号）
14	SHT_INIT_ARRAY	构造函数数组（初始化代码指针）
15	SHT_FINI_ARRAY	析构函数数组（清理代码指针）
16	SHT_PREINIT_ARRAY	程序入口前调用的函数指针
17	SHT_GROUP	Section Group 信息（如用于 comdat 组）
18	SHT_SYMTAB_SHNDX	用于扩展 .symtab 中的节索引字段
0x6ffffff6	SHT_GNU_HASH	GNU 扩展的哈希表，用于加快符号查找
0x70000000~	SHT_LOPROC	处理器相关（私有用途）

接下来说几个比较重要的段


[td]

节名称	作用说明	所在段	节类型（sh_type）
.text	程序代码指令	.text	SHT_PROGBITS
.rodata	只读常量（如字符串）	.text	SHT_PROGBITS
.plt	动态库函数调用跳板（过程链接表）	.text	SHT_PROGBITS
.data	初始化的全局变量	.data	SHT_PROGBITS
.bss	未初始化的全局变量（加载时清零）	.data	SHT_NOBITS
.got.plt	全局偏移表（供链接器运行时修改）	.data	SHT_PROGBITS
.dynsym	动态符号表（共享库函数的符号信息）	.text	SHT_DYNSYM
.dynstr	动态字符串表（动态符号名称）	.text	SHT_STRTAB
.rel.*	重定位表（无 addend 的重定位信息）	—	SHT_REL
.rela.*	重定位表（有 addend 的重定位信息）	—	SHT_RELA
.hash	GNU 哈希表，用于加快符号解析	.text	SHT_HASH / SHT_GNU_HASH
.symtab	静态符号表（编译器调试使用）	.text 或无段	SHT_SYMTAB
.strtab	静态字符串表（供 .symtab 使用）	.text 或无段	SHT_STRTAB
.ctors	构造函数表（程序执行前自动运行）	.data	SHT_INIT_ARRAY
.dtors	析构函数表（程序执行后自动运行）	.data	SHT_FINI_ARRAY

上面我们介绍了.dynsym节和.symtab节，两者都是符号表。那么它们到底有什么区别呢？存在什么关系呢？
符号表
[td]

名称	作用
.dynsym	为 动态链接器（如ld.so） 提供必要的符号信息，用于程序运行时解析共享库中的函数和变量
.symtab	为 调试器、反汇编器 和链接器使用，包含完整的符号信息，用于静态链接、调试等目的

[td]

比较项	.dynsym	.symtab
包含符号	仅包含动态链接需要的外部符号	包含全部符号（局部 + 全局 + 调试用）
符号数量	少（仅用于动态链接）	多（包含局部变量、函数、调试符号等）
是否包含局部符号	否	是

总结：.symtab不是在运行时必需的，因此不会被装载到内存中。.dynsym保存的符号只能在运行时被解析，因此是运行时动态链接器所需的唯一符号。.dynsym对于动态链接可执行文件的执行是必需的，而.symtab只是用来进行调试和链接的。
什么是导入表（Import Table）

导入表记录了一个 .so 文件依赖的外部符号（函数或变量），这些符号来自其他共享库，运行时由动态链接器进行解析。

导入表体现在哪些节中？[td]

节名称	说明
.dynsym	动态符号表，包含所有导入/导出符号
.dynstr	动态字符串表，保存符号名称
.rel.plt / .rela.plt	重定位信息（用于懒加载）
.got.plt	GOT表，用于存放外部符号地址
.dynamic	含有 DT_NEEDED（依赖库）、DT_SYMTAB 等指针，供加载器解析

什么是导出表（Export Table）
导出表列出了一个 .so 文件对外暴露的符号，即其他程序或库可以调用的函数和变量。导出符号同样保存在 .dynsym 中。

基础NDK开发（确保已配备开发环境）

新建一个NDK项目，之后我们看到native-lib.cpp，native层的代码就在此处编写了。

初步了解静态注册和动态注册

静态注册（Static Registration）

优点：使用固定命名格式，系统自动匹配 Java 方法和 native 实现。      简单直接，不需要手动注册。

缺点：每个函数名非常长，容易出错，不灵活。且逆向成本较低

动态注册（Dynamic Registration）

优点：使用任意函数名，通过 JNI_OnLoad 中显式注册       结构清晰，支持混淆类名/方法名

缺点： 如果注册失败不会编译报错，只会在运行时崩溃或方法调用失败

现在，让我们来注册两个native函数（一个实现静态注册，另一个实现动态注册）

新建一个类math，接下来在这个类里这么写

1. package com.lingxing.myapplication;
   
2. 
   
3. public class math {
   
4.     public static native int add(int a , int b);
   
5.     public static native int sub(int a , int b);
   
6. }

复制代码

之后，我们开始在native注册。

1. #include <jni.h>           // JNI 头文件
   
2. #include <string>
   
3. 
   
4. extern "C" JNIEXPORT jstring JNICALL
   
5. Java_com_lingxing_myapplication_MainActivity_stringFromJNI(
   
6.         JNIEnv* env,           // JNI 接口指针，用于调用 JNI 提供的各种函数
   
7.         jobject /* this */) {  // Java 中调用该方法的对象引用，这里未使用，可省略参数名
   
8.     std::string hello = "Hello from C++";
   
9.     return env->NewStringUTF(hello.c_str());
   
10. }
    
11. 
    
12. extern "C" JNIEXPORT jint JNICALL
    
13. Java_com_lingxing_myapplication_math_add(
    
14.         JNIEnv *env,         // JNI 接口指针
    
15.         jclass clazz,        // 调用该静态 native 方法的 Java 类引用
    
16.         jint a,              // 从 Java 传入的第一个 int 参数
    
17.         jint b) {            // 从 Java 传入的第二个 int 参数
    
18.     return a + b;
    
19. }
    
20. 
    
21. jint sub(JNIEnv* env, jclass clazz, jint a, jint b) {
    
22.     return a - b;      
    
23. }
    
24. static JNINativeMethod methods[] = {
    
25.     // {Java 层方法名, 方法签名, 对应的 C 函数指针}
    
26.     // 方法签名 (II)I 表示：接收两个 int (I, I)，返回一个 int (I)
    
27.     {"sub", "(II)I", (void*)sub}
    
28. };
    
29. 
    
30. // JNI 默认加载函数，当 Java 层使用 System.loadLibrary() 加载本地库时会调用此函数
    
31. JNIEXPORT jint JNICALL JNI_OnLoad(JavaVM* vm, void* reserved) {
    
32.     JNIEnv* env = nullptr;
    
33.     // 获取 JNI 环境，指定最低支持的 JNI 版本为 1.6
    
34.     if (vm->GetEnv(reinterpret_cast<void**>(&env), JNI_VERSION_1_6) != JNI_OK) {
    
35.         return JNI_ERR;     // 获取失败则返回错误，库加载失败
    
36.     }
    
37. 
    
38.     // 查找要注册 native 方法的 Java 类，使用全路径，包名与类名之间用 '/' 分隔
    
39.     jclass clazz = env->FindClass("com/lingxing/myapplication/math");
    
40.     if (clazz == nullptr) {
    
41.         return JNI_ERR;     // 找不到类，返回错误
    
42.     }
    
43. 
    
44.     // 动态注册 methods 数组中定义的 native 方法
    
45.     // 第三个参数是 methods 数组长度
    
46.     if (env->RegisterNatives(
    
47.             clazz,
    
48.             methods,
    
49.             sizeof(methods) / sizeof(methods[0])
    
50.         ) < 0) {
    
51.         return JNI_ERR;     // 注册失败，返回错误
    
52.     }
    
53. 
    
54.     // 返回支持的 JNI 版本号
    
55.     return JNI_VERSION_1_6;
    
56. }
    

复制代码

接下来我们就完成了静态注册和动态注册，就可以用IDA看导出表了

直接搜java就能看到静态注册的方法了（动态注册下次再讲，三种对抗方法），点进去f5之后按y把一个参数改为

1. JNIEnv *env

复制代码

这样来说对于jni函数伪c效果更好，但是这里逻辑太简单，所以无所谓改不改。
动态注册的话，咱们也可以静态看一看，静态其实不太好看。
导出表搜索JNI_OnLoad。
可以看到

1. if ( (*(int (__fastcall **)(_QWORD, __int64, _UNKNOWN **, __int64))(*(_QWORD *)v5[0] + 1720LL))(
   
2.          v5[0],
   
3.          v4,
   
4.          &off_40108,
   
5.          1) < 0 )

复制代码

那么这其中的off_40108就是它的方法了，我们点进去看可以看到

1. Z3subP7_JNIEnvP7_jclassii ; sub(_JNIEnv *,_jclass *,int,int)

复制代码

双击点进去就是减法的逻辑了
结帖结帖

清酒123

看看看

Melesio

看看隐藏

tax

看看教程

尧尧爱pj

看看隐藏

岩前

路过看看

metor123

学习一下

苇草

学习学习

帅气的子建

学习学习

爱在布拉格

感谢分享

不熬夜的听冬酱

Look Look

Bestow

回复看看

会逆向的人很酷

来学习学习，谢谢

吴小飞

感谢分享

MW

感谢分享，看看隐藏