[原创]关于不同版本 glibc 更换的一些问题-Pwn-看雪安全社区

# 关于不同版本 glibc 更换的一些问题

在做 pwn 题时，更换 ELF 文件的 libc 版本一直让人头疼，所以写文记录关于 glibc 的下载，替换，调试的一些问题。

## 如何获取不同版本的 glibc

### 手动下载

通过镜像源可以下载到常见版本的 glibc 及其符号表。

通过 <a href="elink@cbcK9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8X3!0D9k6q4)9J5k6s2u0W2L8r3g2S2M7$3g2K6i4K6u0W2N6h3u0#2L8Y4c8#2i4K6u0W2j5$3!0E0i4K6u0r3N6h3u0#2L8Y4c8#2i4K6u0r3M7r3!0G2L8q4)9J5c8X3#2S2K9h3&6Q4x3V1k6Y4i4K6u0r3k6$3I4A6j5X3y4Q4x3V1j5`.">Ubuntu 的 old-releases 镜像站</a> 或者 <a href="elink@718K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6E0K9i4u0J5L8%4u0K6i4K6u0W2N6s2g2F1j5g2)9J5k6i4c8K6K9h3&6Y4K9s2g2S2i4K6u0W2k6h3c8#2i4K6u0W2j5$3&6Q4x3V1k6#2j5Y4g2F1N6s2g2Q4x3V1k6H3L8$3!0D9i4K6u0r3L8h3q4A6L8W2)9J5c8X3N6Q4x3V1k6Y4L8r3W2T1j5#2)9J5c8R3`.`.">清华的镜像站</a> 可以下载到不同版本的 glibc。然后通过 `dpkg -x *.deb` 来解压 deb 包得到 libc。

当然也可以通过 Debian 等发行版的镜像源来下载 glibc。

### 自动化工具

有两个项目可以实现自动下载 libc：<765K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6F1K9h3E0D9j5i4y4T1i4K6u0r3L8r3W2T1j5#2)9J5k6r3c8S2N6r3q4T1j5i4y4W2>和<6e0K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6E0j5i4c8J5K9i4R3I4x3o6l9I4i4K6u0r3k6$3I4A6j5X3y4Q4x3X3c8S2L8r3I4Q4x3X3c8A6L8W2)9J5k6r3!0F1k6b7`.`.>，前者不会下载符号表，而后者会将符号表存入对应 libc 的 ".debug" 文件夹中。

## 让程序强行加载特定版本 glibc

### 通过 LD_LIBRARY_PATH 或者 LD_PRELOAD

因为 ld.so 和 libc.so 不匹配的原因，所以直接设置 LD_PRELOAD 可能会炸，就如下所示...

```bash
$ LD_PRELOAD=./libc.so.6 ./baby_tcache
段错误 (核心已转储)
```

可以将配套的 ld 和 libc 一起使用即可实现动态加载 libc。只需将下面代码中 LD_PRELOAD 后面的 "/path/to/libc.so.6" (要加载的 libc 的路径)和第二行的 "/path/to/ld.so" (要加载的 ld 的路径)替换成相应文件的路径就行了。

```bash
$ LD_PRELOAD=/path/to/libc.so.6;
$ /path/to/ld.so ./test
```

在 pwntools 启动程序时，可以按照下面的代码进行设置。

```python
p = process(["/path/to/ld.so", "./test"],
            env={"LD_PRELOAD":"/path/to/libc.so.6"})
```

### 通过 patchelf 修改 ELF 文件

在 github 上有一个项目叫 <a href="elink@81bK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6z5K9i4S2a6f1#2)9J5c8Y4m8S2N6r3y4Z5k6h3I4X3">patchelf</a>，通过这个项目可以实现修改 ELF 中硬编码的 libc 和 ld 的路径。

一般 ELF 文件的 `ldd` 和 `file` 结果与下面类似，可以看到 libc 等动态库的路径被写死在文件中，而 libc.so.6 是一个符号链接，所指向的文件是真正的 libc。

```bash
$ ldd /usr/local/bin/patchelf
    linux-vdso.so.1 (0x00007ffc497e5000)
    libstdc++.so.6 => /usr/lib/x86_64-linux-gnu/libstdc++.so.6 (0x00007f2d46aee000)
    libm.so.6 => /lib/x86_64-linux-gnu/libm.so.6 (0x00007f2d4696b000)
    libgcc_s.so.1 => /lib/x86_64-linux-gnu/libgcc_s.so.1 (0x00007f2d46951000)
    libc.so.6 => /lib/x86_64-linux-gnu/libc.so.6 (0x00007f2d46790000)
    /lib64/ld-linux-x86-64.so.2 (0x00007f2d46caf000)
$ file /usr/local/bin/patchelf
/usr/local/bin/patchelf: ELF 64-bit LSB pie executable, x86-64, version 1 (GNU/Linux), dynamically linked, interpreter /lib64/ld-linux-x86-64.so.2, for GNU/Linux 3.2.0, BuildID[sha1]=cfa182b059312c4c03e401efc8efe47a373d348c, with debug_info, not stripped
$ file /lib/x86_64-linux-gnu/libc.so.6
/lib/x86_64-linux-gnu/libc.so.6: symbolic link to libc-2.28.so
```

我们通过 patchelf 修改 ELF 文件达到加载指定版本 libc。我们先用 "--set-interpreter" 这个选项来将旧的 ld.so 替换为要加载的 ld.so，然后使用 "--replace-needed" 这个选项将旧的 libc.so 替换成要加载的 libc.so。在使用 "--replace-needed" 时，第 2 个参数是程序原本的动态库的路径，可以由 `ldd $目标文件` 得到，第 3 个参数是新的动态库的路径，第 4 个参数为要修改文件的路径。

这里我们修改 "./patchelf" 这个文件的的 libc.so 和 ld.so。根据上面 `ldd` 的结果，可以知道 ELF 中的 libc 的路径为 "libc.so.6"，所以替换 libc 时所使用的第 2 个参数为 "libc.so.6"

```bash
$ patchelf --set-interpreter /opt/libs/2.27-3ubuntu1_amd64/ld-2.27.so ./patchelf
$ patchelf --replace-needed libc.so.6 /opt/libs/2.27-3ubuntu1_amd64/libc-2.27.so ./patchelf
```

然后再用 ldd 和 file 命令查看程序，可以看到 libc 和 ld 都修改成功了。

```bash
$ ldd ./patchelf
    linux-vdso.so.1 (0x00007fff785a0000)
    libstdc++.so.6 => /usr/lib/x86_64-linux-gnu/libstdc++.so.6 (0x00007fb408672000)
    libm.so.6 => /lib/x86_64-linux-gnu/libm.so.6 (0x00007fb4084ef000)
    libgcc_s.so.1 => /lib/x86_64-linux-gnu/libgcc_s.so.1 (0x00007fb4084d5000)
    /opt/libs/2.27-3ubuntu1_amd64/libc-2.27.so (0x00007fb4080e4000)
    /opt/libs/2.27-3ubuntu1_amd64/ld-2.27.so => /lib64/ld-linux-x86-64.so.2 (0x00007fb408a67000)
$ file ./patchelf
./patchelf: ELF 64-bit LSB pie executable, x86-64, version 1 (GNU/Linux), dynamically linked, interpreter /opt/libs/2.27-3ubuntu1_amd64/ld-2.27.so, for GNU/Linux 3.2.0, BuildID[sha1]=cfa182b059312c4c03e401efc8efe47a373d348c, with debug_info, not stripped
```

我写了个简单脚本，使用 "patchelf" 给 ELF 文件 Patch 上 "glibc all in one" 下载的 libc。将下面脚本以 "chlibc.sh" 保存后，只需要使用 `./chlibc.sh $libc所在目录 $目标文件` 就能修改 libc 了。例如 `./chlibc.sh /opt/libs/2.23-0ubuntu10_i386 echo3` 就是将 "echo3" 这个 ELF 文件的 libc 和 ld 换成 `/opt/libs/2.23-0ubuntu10_i386` 这个目录下的 libc 和 ld。

```bash
set -x
libc_path=$1
elf_path=$2
patchelf_bin_path="/path/to/patchelf"
if [ -f ${libc_path}/ld-[2].[0-9][0-9].so ]; then
    $patchelf_bin_path --set-interpreter $libc_path/ld-[2].[0-9][0-9].so $elf_path
fi
if [ -f $libc_path/libc-[2].[0-9][0-9].so ]; then
    $patchelf_bin_path --replace-needed libc.so.6 $libc_path/libc-[2].[0-9][0-9].so $elf_path
fi
set +x
```

需要注意的是 patchelf 可能会有 Bug，所以使用从 Github 上的代码进行编译得到的 patchelf 能避开一些 Bug。

### 使用 LIEF

在看 LIEF 文档时发现了<a href="elink@6b9K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6%4N6%4N6Q4x3X3g2S2P5i4u0^5i4K6u0W2L8h3g2Q4x3V1k6#2M7$3W2F1k6#2)9J5k6r3q4Q4x3X3c8F1L8$3&6Q4x3X3c8K6P5i4y4@1k6h3#2Q4x3X3c8D9K9h3u0U0">一篇老外的博文</a>，讲的是通过 LIEF 来使用不是系统自带的 libc。

## 在 gdb 中加载 debug 文件/符号表

如果只是直接 Patch 了 ELF 文件的 ld 和 libc，而没有放置符号表的话，那么在使用 GDB 调试的时候就不容易看到 libc 中的各种结构。所以我们需要加载符号表来方便调试。

Ubuntu 的软件维护者在编译对应的 ELF 文件时，会将符号表与 ELF 文件分离，将符号表命名为 "*-dbg.deb"。这样我们就可以通过手动下载符号表来方便调试。

如果是使用 "glibc all in one" 下载的 libc，会在 libc 等库放置的位置使用 ".debug" 文件夹存放好了 libc 的符号表，使用 gdb 可以自动加载。但是碰到 "glibc all in one" 没有的 libc 版本时就需要手动下载 debug 文件，并手动加载了。

### 将 debug 文件放入 ".debug" 文件夹

在放置 libc 的目录下新建 ".debug"文件夹，将 debug 文件放入其中即可。原理见参考文章 2，glibc 的官方文档。

### 通过 gdb 命令 set debug-file-directory directories

在参考文章1可以看到关于 gdb 如何加载分离的 debug 文件，我们只要将 libc 等库的 debug 文件放入对应文件夹，并通过 `set debug-file-directory $directories` 命令将文件夹设为分离的 debug 文件目录，就可以让 gdb 加载 debug 文件。

### 通过 gdb python api 的 add_separate_debug_file() 加载

gdb 的 python api 中有一个`Objfile.add_separate_debug_file (file)`来让对应的二进制文件加载分离的 debug file，这里我将其封装成了命令，在程序运行起来后通过修改下面的命令即可加载。

```bash
pwndbg> source '/path/to/loadsym.py'
pwndbg> loadsym '/path/to/usr/lib/debug/lib/x86_64-linux-gnu/libc-2.27.so'
[*] symbol file path: /path/to/usr/lib/debug/lib/x86_64-linux-gnu/libc-2.27.so
[+] load debug file success!
```

这是 loadsym.py 文件

```python
import gdb

class loadsym(gdb.Command):
    """
    load symbol file to glibc
    Usage: loadsym {symbol file}
    Example:
        (gdb) loadsym '/path/to/usr/lib/debug/lib/x86_64-linux-gnu/libc-2.27.so'
    """

def __init__(self):
        '''
        register command in constructer function
        '''

super(self.__class__, self).__init__("loadsym", gdb.COMMAND_USER)

def invoke(self, args, from_tty):
        '''
        in invoke method, we add command's features
        '''

# using string_to_argv to convert args to list
        argv = gdb.string_to_argv(args)
        if len(argv) != 1:
            raise gdb.GdbError(
                'Fail to execute command, use "help loadsym" for help')
        print('[*] symbol file path: {}'.format(argv[0]))

# traverse objfiles to find libc
        for i in gdb.objfiles():
            if 'libc' in i.filename:
                self.add_debug_file(i, argv[0])
                return
        print('[-] fail to find libc!')

def add_debug_file(self, objfile, debugfile_path):
        '''
        add debug file and check debug file's status
        '''

objfile.add_separate_debug_file(debugfile_path)
        # check symbol file is loading
        if gdb.lookup_symbol('main_arena') == None:
            print('[-] load debug file fail!')
            return False
        else:
            print('[+] load debug file success!')
            return True

if __name__ == "__main__":
    loadsym()

```

## 参考文章

<940K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6%4K9h3E0A6i4K6u0W2N6h3u0#2L8Y4c8#2i4K6u0W2j5$3!0E0i4K6u0r3c8r3g2T1N6h3N6Q4x3U0f1J5x3q4y4&6L8h3u0G2L8q4)9J5y4e0t1H3f1r3q4U0K9$3q4Y4k6i4x3`.>

<1b4K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6K6L8%4g2J5j5$3g2%4j5i4u0W2i4K6u0W2L8%4u0Y4i4K6u0r3k6$3c8T1i4K6u0r3L8$3&6D9K9h3&6W2k6r3!0U0M7#2)9J5c8X3N6V1j5W2)9J5c8W2y4W2M7r3q4J5j5i4c8W2i4K6u0V1c8r3g2T1N6h3N6Q4x3X3c8r3K9h3I4W2M7#2)9J5k6h3S2@1L8h3H3`.>

<639K9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8X3#2S2L8U0N6Q4x3X3g2G2M7X3N6Q4x3V1k6D9K9h3&6#2P5q4)9J5c8X3#2S2L8W2)9J5k6s2m8S2k6$3g2K6i4K6u0r3L8h3q4F1z5q4)9J5c8X3I4V1i4K6u0W2M7$3!0Q4x3X3f1^5i4K6u0W2K9s2c8E0L8l9`.`.>

登录后可查看完整内容

冰与火的战歌：Windows内核攻防实战高级班！从零到实战，融合AI与Windows内核攻防全技术栈，打造具备自动化能力的内核开发高手。

最后于 2020-3-19 01:45 被富强民主和谐编辑，原因：丰富细节，增加说明

最新回复 (17)
jackeyQ 雪币： 0 活跃值： (30) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 3 粉丝 0 关注私信	jackeyQ 2 楼这么好的文章居然没人留言。。。 2019-12-25 14:45 0
jackeyQ 雪币： 0 活跃值： (30) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 3 粉丝 0 关注私信	jackeyQ 3 楼推荐个工具是pwn_debug b73K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6J5j5i4W2Q4x3X3c8U0M7q4)9J5c8Y4m8%4L8W2)9#2k6X3c8W2j5Y4g2Y4 2019-12-25 14:48 0
留恋恋恋恋雪币： 207 活跃值： (101) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 1 粉丝 0 关注私信	留恋恋恋恋 4 楼好文章,支持一下! 2020-3-18 21:19 0
flatkc 雪币： 1187 活跃值： (148) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 3 粉丝 0 关注私信	flatkc 5 楼专门注册了一个账号就是为了赞你 2020-8-17 17:24 0
00D 雪币： 11 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 1 粉丝 0 关注私信	00D 6 楼很有用啊，救了我 2020-9-25 23:11 0
k1ll3rQ 雪币： 290 活跃值： (223) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 14 粉丝 0 关注私信	k1ll3rQ 7 楼好文，不过我在实践的时候发现文章提到的结合pwntool的用法 p = process(["/path/to/ld.so", "./test"], env={"LD_PRELOAD":"/path/to/libc.so.6"}) 会导致system执行出错。 patchelf的方法不会。 2020-10-9 15:45 1
xxs_bxs 雪币： 220 活跃值： (168) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 1 粉丝 0 关注私信	xxs_bxs 8 楼 wx_LONELYGOD 好文，不过我在实践的时候发现文章提到的结合pwntool的用法 p = process(["/path/to/ld.so", "./test"], env={ ... 同问，想知道为什么会这样 2020-10-27 10:37 0
96613686 雪币： 188 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 2 粉丝 0 关注私信	96613686 9 楼非常感谢大佬啊，一直在寻找更好libc后gdb无法识别的问题的解答 2021-1-10 23:53 0
a3uRa 雪币： 34 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 2 粉丝 0 关注私信	a3uRa 10 楼已经有一个libc-2.19.so的文件能否得到对应的版本对应ld的版本呢 2021-2-22 01:28 0
Roland_ 雪币： 4173 活跃值： (15962) 能力值： ( LV9，RANK：710 ) 在线值：发帖 40 回帖 101 粉丝 335 关注私信	Roland_ 12 11 楼很有用的实用技巧，支持！ 2021-2-23 22:59 0
kr0emer 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 2 粉丝 0 关注私信	kr0emer 12 楼感谢楼主最后于 2021-3-30 23:54 被kr0emer编辑，原因： 2021-3-15 16:54 0
常喑雪币： 11 活跃值： (246) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 2 粉丝 0 关注私信	常喑 13 楼不知道楼主和各位大佬有没有遇到过这种问题，我最近重编了一个libc2.23，用里面的loader去加载以前2.23题目给的libc，会segfault，这是为啥呢 2021-4-13 02:43 0
zyLeo 雪币： 20 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 1 粉丝 0 关注私信	zyLeo 14 楼好文顶一下 2021-10-31 10:24 0
GUANZHI_ 雪币： 449 活跃值： (2669) 能力值： ( LV2，RANK：10 ) 在线值：发帖 10 回帖 29 粉丝 0 关注私信	GUANZHI_ 15 楼 a3uRa 已经有一个libc-2.19.so的文件能否得到对应的版本对应ld的版本呢 strings <libc.so文件> \| grep 'ubuntu'命令会显示要用的ld版本 2023-12-29 08:31 0
tw11ty 雪币： 20 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 1 粉丝 0 关注私信	tw11ty 16 楼师傅讲的十分详细！！！感谢！ 2024-10-16 17:02 0
git_99667gzm55 雪币：能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 1 粉丝 0 关注私信	git_99667gzm55 17 楼可以试一下 3d6K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6Y4P5X3@1#2y4g2)9J5c8X3y4Z5L8r3W2T1j5#2)9J5y4X3&6T1M7%4m8Q4x3@1u0Q4x3V1y4Q4x3U0k6F1j5Y4y4H3i4K6y4n7i4@1f1#2i4K6R3#2i4K6S2p5i4@1f1#2i4K6S2q4i4@1u0n7i4K6t1$3L8X3u0K6M7q4)9K6b7Y4m8S2N6r3y4Z5k6h3I4X3i4K6t1$3L8X3u0K6M7q4)9K6b7W2!0q4y4q4!0n7c8W2!0m8c8g2!0q4y4W2)9&6y4q4!0n7z5g2!0q4y4W2)9&6y4W2)9^5y4#2!0q4y4q4!0n7b7W2!0n7y4W2)9J5b7#2)9J5y4X3&6T1M7%4m8Q4x3@1u0Q4c8e0g2Q4z5e0m8Q4b7f1k6Q4c8e0g2Q4z5p5q4Q4b7e0S2Q4c8e0S2Q4b7V1k6Q4z5f1u0Q4c8e0N6Q4b7e0S2Q4z5p5u0Q4c8e0k6Q4z5e0N6Q4b7U0k6Q4c8e0k6Q4z5f1u0Q4b7V1k6Q4c8e0k6Q4z5p5c8Q4b7e0u0Q4x3U0k6F1j5Y4y4H3i4K6y4n7L8r3W2T1j5H3`.`. 2026-6-24 13:40 0
~self 雪币： 313 活跃值： (520) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 7 粉丝 0 关注私信	~self 18 楼 pwntools 的 pwn template 其实已经自带此项功能. 2026-9-16 01:21 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复