浅析逆向中 gcc 在主函数前后运行的函数

浅析逆向中 gcc 在主函数前后运行的函数

一次逆向中遇到一个密钥在 Init 函数中被修改的例子，所以查了些资料，整理了GNU C 的 attribute 机制。
.
.

attribute 机制:

attribute 可以设置函数属性（Function Attribute）、变量属性（Variable Attribute）和类型属性（Type Attribute）。
.

__attribute__语法格式：
__attribute __ ( ( attribute-list ) )
前后都有两个下划线，并且后面会紧跟一对原括弧，括弧里面是相应的参数。
.

部分属性功能：
__ attribute__ ((constructor))会使函数在 main() 函数之前被执行

__ attribute__ ((destructor))会使函数在 main() 退出后执行
.
.
使用：
若函数被设定为 constructor 属性，则该函数会在 main() 函数执行之前被自动的执行。类似的，若函数被设定为 destructor 属性，则该函数会在 main() 函数执行之后或者 exit() 被调用后被自动的执行。
.
.

应用举例：

逆向的时候我们直到 elf 文件在 start 函数中有 main 函数、init 和 fini 函数，init 就是初始化，即在主函数前运行的函数，fini 就是在主函数之后执行的函数。
.
.
代码示例：

#include<stdio.h>
#include<string.h>
char string[]="123456";

__attribute__((constructor)) void FunctionName(){
	strcpy(string,"admin1");
	printf("%s\n",string);
}

__attribute((destructor))void after()
{
	strcpy(string,"123456");
	printf("%s\n",string);
}

int main()
{
	printf("%s\n",string);
	return 0;
}

gcc 1.c -o main.out
./main.out  

.
.
扔入 IDA64 中静态分析：





.
.
尝试从 init 函数与 fini 函数中跟踪我们的自定义函数：



.
.
利用：
我们可以定义全局变量的密钥，然后在 init 中修改密钥，进而阻碍他人的静态分析