本文首发于安全客——链接

是否开启NX取决于参数-z设置，而gcc仅仅是将-z keyword传递给linker——ld，并不会真正解析该参数：

可以使用-###参数(该参数并不会执行任何命令，仅仅是打印命令及参数。若要执行命令需使用-v参数)查看这一过程：

-v
Print (on standard error output) the commands executed to run the stages of compilation. Also print the version number of the compiler driver program and of the preprocessor and the compiler proper.

-###
Like -v except the commands are not executed and arguments are quoted unless they contain only alphanumeric characters or ./-_. This is useful for shell scripts to capture the driver-generated command lines.

上图中collect2会执行ld，并为其传递参数：

查看下-z参数含义：

下面从源码角度来分析。ld相关源码位于ld目录下，main函数(位于ldmain.c文件)如下：

parse_args函数负责解析参数，位于lexsup.c文件：

parse_args函数首先会由ld_options数组初始化shortopts，longopts以及really_longopts变量内容，这三个变量会传递给getopt_long_only与getopt_long函数以解析命令行参数：

ldemul_handle_option函数(位于ldemul.c文件)定义如下：

ld_emulation定义为static ld_emulation_xfer_type *ld_emulation;，而ld_emulation_xfer_type结构针对不同架构及目标文件类型，其成员会有不同定义。以ELF文件为例，该函数定义位于elf.em文件中(由下图可以看到同目录下针对其他架构及目标文件类型的.em文件)：

上述函数调用关系为：

之后main函数调用lang_process()，位于ldlang.c文件中。lang_process()函数会调用ldemul_before_allocation()，该函数同样位于ldemul.c文件，其定义如下：

查看elf.em：

ldelf_before_allocation函数定义位于ldelf.c文件中，其调用bfd_elf_size_dynamic_sections函数：

而该函数会执行如下操作：

上述函数调用关系为：

main函数最终执行ldwrite()函数将stack_flags写入Segment的p_flags字段中：

调用的bfd_final_link函数针对不同目标文件会有不同实现，以ELF文件为例，该函数对应实现为bfd_elf_final_link，位于elflink.c文件。其调用_bfd_elf_compute_section_file_positions函数，该函数再调用assign_file_positions_except_relocs函数：

assign_file_positions_for_load_sections函数调用_bfd_elf_map_sections_to_segments将Sections映射到Segments：

_bfd_elf_map_sections_to_segments负责将stack_flags写入Segment的p_flags字段：

变量m为elf_segment_map结构类型，其定义位于internal.h文件：

上述函数调用关系为：

最终体现在目标文件中：

处理程序执行的系统调用为execve：

查看do_execve函数定义

do_execveat_common函数定义如下：

bprm变量指向linux_binprm结构，该结构存储与可执行文件相关的信息，其定义如下：

do_execveat_common函数会填充bprm变量中内容，之后做一些权限检查，复制及初始化工作，最后调用exec_binprm函数执行可执行文件：

其调用search_binary_handler函数对formats链表进行扫描，并执行其load_binary函数，直到其中一个成功解析了可执行文件格式，否则会返回负值：

对于ELF文件，load_binary对应于load_elf_binary，其定义位于binfmt_elf.c文件：

该函数会执行如下操作:

setup_arg_pages函数定义位于exec.c文件中：

mprotect_fixup函数进行检查过后，会执行如下语句将vm_flags赋值给vma->vm_flags：

如此一来，bprm->vma中的vm_flags值为newflags，确定了该虚拟地址空间的访问权限，权限定义位于mm.h文件中：

上述函数调用关系为：

关于NX在CPU层面的实现，以Intel为例。Intel SDM中描述如下：

只有CPUID.80000001H:EDX.NX [bit 20] = 1，IA32_EFER.NXE才可以置位为1或是0，其支持PAE，4-level，5-level分页，不支持32位经典分页：

IA32_EFER.NXE置位为1，XD位才能被设置，否则保留：

内核可以通过noexec on|off来配置是否启用NX：

x86_configure_nx()函数：

其中X86_FEATURE_NX定义如下：

_PAGE_NX定义：

_PAGE_BIT_NX定义语句为#define _PAGE_BIT_NX 63，与Intel SDM中描述一致。__supported_pte_mask会在massage_pgprot函数中使用：

2.4版本的checksec对NX的检查一方面是文件：

一方面是/proc/cpuinfo：

[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)