動(dòng)態(tài)符號鏈接的細(xì)節(jié)
動(dòng)態(tài)符號鏈接的細(xì)節(jié)
前言
Linux 支持動(dòng)態(tài)鏈接庫，不僅節(jié)省了磁盤、內(nèi)存空間，而且可以提高程序運(yùn)行效率。不過引入動(dòng)態(tài)鏈接庫也可能會(huì)帶來很多問題，例如動(dòng)態(tài)鏈接庫的調(diào)試、升級更新和潛在的安全威脅[1], [2]。這里主要討論符號的動(dòng)態(tài)鏈接過程，即程序在執(zhí)行過程中，對其中包含的一些未確定地址的符號進(jìn)行重定位的過程[1], [2]。
本篇主要參考資料[3]和[8]，前者側(cè)重實(shí)踐，后者側(cè)重原理，把兩者結(jié)合起來就方便理解程序的動(dòng)態(tài)鏈接過程了。另外，動(dòng)態(tài)鏈接庫的創(chuàng)建、使用以及調(diào)用動(dòng)態(tài)鏈接庫的部分參考了資料[1], [2]。
下面先來看看幾個(gè)基本概念，接著就介紹動(dòng)態(tài)鏈接庫的創(chuàng)建、隱式和顯示調(diào)用，最后介紹符號的動(dòng)態(tài)鏈接細(xì)節(jié)。
基本概念
ELF
ELF 是 Linux 支持的一種程序文件格式，本身包含重定位、執(zhí)行、共享（動(dòng)態(tài)鏈接庫）三種類型（man elf）。
代碼：
/* test.c */
#include <stdio.h>
int global = 0;
int main()
{
char local = 'A';
printf("local = %c, global = %d\n", local, global);
return 0;
}演示：
通過 -c 生成可重定位文件 test.o，這里不會(huì)進(jìn)行鏈接：
$ gcc -c test.c
$ file test.o
test.o: ELF 32-bit LSB relocatable, Intel 80386, version 1 (SYSV), not stripped鏈接后才可以執(zhí)行：
$ gcc -o test test.o
$ file test
test: ELF 32-bit LSB executable, Intel 80386, version 1 (SYSV), dynamically linked (uses shared libs), not stripped也可鏈接成動(dòng)態(tài)鏈接庫，不過一般不會(huì)把 main 函數(shù)鏈接成動(dòng)態(tài)鏈接庫，后面再介紹：
$ gcc -fpic -shared -Wl,-soname,libtest.so.0 -o libtest.so.0.0 test.o
$ file libtest.so.0.0
libtest.so.0.0: ELF 32-bit LSB shared object, Intel 80386, version 1 (SYSV), not stripped雖然 ELF 文件本身就支持三種不同的類型，不過它有一個(gè)統(tǒng)一的結(jié)構(gòu)。這個(gè)結(jié)構(gòu)是：
文件頭部(ELF Header)
程序頭部表(Program Header Table)
節(jié)區(qū)1(Section1)
節(jié)區(qū)2(Section2)
節(jié)區(qū)3(Section3)
...
節(jié)區(qū)頭部表(Section Header Table)無論是文件頭部、程序頭部表、節(jié)區(qū)頭部表，還是節(jié)區(qū)，它們都對應(yīng)著 C 語言里頭的一些結(jié)構(gòu)體（elf.h 中定義）。文件頭部主要描述 ELF 文件的類型，大小，運(yùn)行平臺(tái)，以及和程序頭部表和節(jié)區(qū)頭部表相關(guān)的信息。節(jié)區(qū)頭部表則用于可重定位文件，以便描述各個(gè)節(jié)區(qū)的信息，這些信息包括節(jié)區(qū)的名字、類型、大小等。程序頭部表則用于描述可執(zhí)行文件或者動(dòng)態(tài)鏈接庫，以便系統(tǒng)加載和執(zhí)行它們。而節(jié)區(qū)主要存放各種特定類型的信息，比如程序的正文區(qū)（代碼）、數(shù)據(jù)區(qū)（初始化和未初始化的數(shù)據(jù)）、調(diào)試信息、以及用于動(dòng)態(tài)鏈接的一些節(jié)區(qū)，比如解釋器（.interp）節(jié)區(qū)將指定程序動(dòng)態(tài)裝載 / 鏈接器 ld-linux.so 的位置，而過程鏈接表（plt）、全局偏移表（got）、重定位表則用于輔助動(dòng)態(tài)鏈接過程。
符號
對于可執(zhí)行文件除了編譯器引入的一些符號外，主要就是用戶自定義的全局變量，函數(shù)等，而對于可重定位文件僅僅包含用戶自定義的一些符號。
-
生成可重定位文件
$ gcc -c test.c
$ nm test.o
00000000 B global
00000000 T main
U printf上面包含全局變量、自定義函數(shù)以及動(dòng)態(tài)鏈接庫中的函數(shù)，但不包含局部變量，而且發(fā)現(xiàn)這三個(gè)符號的地址都沒有確定。
注： nm 命令可用來查看 ELF 文件的符號表信息。
-
生成可執(zhí)行文件
$ gcc -o test test.o
$ nm test | egrep "main$| printf|global$"
080495a0 B global
08048354 T main
U printf@@GLIBC_2.0
經(jīng)鏈接，`global` 和 `main` 的地址都已經(jīng)確定了，但是 `printf` 卻還沒，因?yàn)樗莿?dòng)態(tài)鏈接庫 `glibc` 中定義函數(shù)，需要?jiǎng)討B(tài)鏈接，而不是這里的“靜態(tài)”鏈接。重定位：是將符號引用與符號定義進(jìn)行鏈接的過程
從上面的演示可以看出，重定位文件 test.o 中的符號地址都是沒有確定的，而經(jīng)過靜態(tài)鏈接（gcc 默認(rèn)調(diào)用 ld 進(jìn)行鏈接）以后有兩個(gè)符號地址已經(jīng)確定了，這樣一個(gè)確定符號地址的過程實(shí)際上就是鏈接的實(shí)質(zhì)。鏈接過后，對符號的引用變成了對地址（定義符號時(shí)確定該地址）的引用，這樣程序運(yùn)行時(shí)就可通過訪問內(nèi)存地址而訪問特定的數(shù)據(jù)。
我們也注意到符號 printf 在可重定位文件和可執(zhí)行文件中的地址都沒有確定，這意味著該符號是一個(gè)外部符號，可能定義在動(dòng)態(tài)鏈接庫中，在程序運(yùn)行時(shí)需要通過動(dòng)態(tài)鏈接器（ld-linux.so）進(jìn)行重定位，即動(dòng)態(tài)鏈接。
通過這個(gè)演示可以看出 printf 確實(shí)在 glibc 中有定義。
$ nm -D /lib/`uname -m`-linux-gnu/libc.so.6 | grep "\ printf$"
0000000000053840 T printf除了 nm 以外，還可以用 readelf -s 查看 .dynsym 表或者用 objdump -tT 查看。
需要提到的是，用 nm 命令不帶 -D 參數(shù)的話，在較新的系統(tǒng)上已經(jīng)沒有辦法查看 libc.so 的符號表了，因?yàn)?nm 默認(rèn)打印常規(guī)符號表（在 .symtab 和 .strtab 節(jié)區(qū)中），但是，在打包時(shí)為了減少系統(tǒng)大小，這些符號已經(jīng)被 strip 掉了，只保留了動(dòng)態(tài)符號（在 .dynsym 和 .dynstr 中）以便動(dòng)態(tài)鏈接器在執(zhí)行程序時(shí)尋址這些外部用到的符號。而常規(guī)符號除了動(dòng)態(tài)符號以外，還包含有一些靜態(tài)符號，比如說本地函數(shù)，這個(gè)信息主要是調(diào)試器會(huì)用，對于正常部署的系統(tǒng)，一般會(huì)用 strip 工具刪除掉。
關(guān)于 nm 與 readelf -s 的詳細(xì)比較，可參考：nm vs “readelf -s”。
動(dòng)態(tài)鏈接
動(dòng)態(tài)鏈接就是在程序運(yùn)行時(shí)對符號進(jìn)行重定位，確定符號對應(yīng)的內(nèi)存地址的過程。
Linux 下符號的動(dòng)態(tài)鏈接默認(rèn)采用Lazy Mode方式，也就是說在程序運(yùn)行過程中用到該符號時(shí)才去解析它的地址。這樣一種符號解析方式有一個(gè)好處：只解析那些用到的符號，而對那些不用的符號則永遠(yuǎn)不用解析，從而提高程序的執(zhí)行效率。
不過這種默認(rèn)是可以通過設(shè)置 LD_BIND_NOW 為非空來打破的（下面會(huì)通過實(shí)例來分析這個(gè)變量的作用），也就是說如果設(shè)置了這個(gè)變量，動(dòng)態(tài)鏈接器將在程序加載后和符號被使用之前就對這些符號的地址進(jìn)行解析。
動(dòng)態(tài)鏈接庫
上面提到重定位的過程就是對符號引用和符號地址進(jìn)行鏈接的過程，而動(dòng)態(tài)鏈接過程涉及到的符號引用和符號定義分別對應(yīng)可執(zhí)行文件和動(dòng)態(tài)鏈接庫，在可執(zhí)行文件中可能引用了某些動(dòng)態(tài)鏈接庫中定義的符號，這類符號通常是函數(shù)。
為了讓動(dòng)態(tài)鏈接器能夠進(jìn)行符號的重定位，必須把動(dòng)態(tài)鏈接庫的相關(guān)信息寫入到可執(zhí)行文件當(dāng)中，這些信息是什么呢？
$ readelf -d test | grep NEEDED
0x00000001 (NEEDED) Shared library: [libc.so.6]ELF 文件有一個(gè)特別的節(jié)區(qū)： .dynamic，它存放了和動(dòng)態(tài)鏈接相關(guān)的很多信息，例如動(dòng)態(tài)鏈接器通過它找到該文件使用的動(dòng)態(tài)鏈接庫。不過，該信息并未包含動(dòng)態(tài)鏈接庫 libc.so.6 的絕對路徑，那動(dòng)態(tài)鏈接器去哪里查找相應(yīng)的庫呢？
通過 LD_LIBRARY_PATH 參數(shù)，它類似 Shell 解釋器中用于查找可執(zhí)行文件的 PATH 環(huán)境變量，也是通過冒號分開指定了各個(gè)存放庫函數(shù)的路徑。該變量實(shí)際上也可以通過 /etc/ld.so.conf 文件來指定，一行對應(yīng)一個(gè)路徑名。為了提高查找和加載動(dòng)態(tài)鏈接庫的效率，系統(tǒng)啟動(dòng)后會(huì)通過 ldconfig 工具創(chuàng)建一個(gè)庫的緩存 /etc/ld.so.cache 。如果用戶通過 /etc/ld.so.conf 加入了新的庫搜索路徑或者是把新庫加到某個(gè)原有的庫目錄下，最好是執(zhí)行一下 ldconfig 以便刷新緩存。
需要補(bǔ)充的是，因?yàn)閯?dòng)態(tài)鏈接庫本身還可能引用其他的庫，那么一個(gè)可執(zhí)行文件的動(dòng)態(tài)符號鏈接過程可能涉及到多個(gè)庫，通過 readelf -d 可以打印出該文件直接依賴的庫，而通過 ldd 命令則可以打印出所有依賴或者間接依賴的庫。
$ ldd test
linux-gate.so.1 => (0xffffe000)
libc.so.6 => /lib/libc.so.6 (0xb7da2000)
/lib/ld-linux.so.2 (0xb7efc000)libc.so.6 通過 readelf -d 就可以看到的，是直接依賴的庫；而 linux-gate.so.1 在文件系統(tǒng)中并沒有對應(yīng)的庫文件，它是一個(gè)虛擬的動(dòng)態(tài)鏈接庫，對應(yīng)進(jìn)程內(nèi)存映像的內(nèi)核部分，更多細(xì)節(jié)請參考資料[11]; 而 /lib/ld-linux.so.2 正好是動(dòng)態(tài)鏈接器，系統(tǒng)需要用它來進(jìn)行符號重定位。那 ldd 是怎么知道 /lib/ld-linux.so 就是該文件的動(dòng)態(tài)鏈接器呢？
那是因?yàn)?ELF 文件通過專門的節(jié)區(qū)指定了動(dòng)態(tài)鏈接器，這個(gè)節(jié)區(qū)就是 .interp 。
$ readelf -x .interp test
Hex dump of section '.interp':
0x08048114 2f6c6962 2f6c642d 6c696e75 782e736f /lib/ld-linux.so
0x08048124 2e3200 .2.可以看到這個(gè)節(jié)區(qū)剛好有字符串 /lib/ld-linux.so.2，即 ld-linux.so 的絕對路徑。
我們發(fā)現(xiàn)，與 libc.so 不同的是，ld-linux.so 的路徑是絕對路徑，而 libc.so 僅僅包含了文件名。原因是：程序被執(zhí)行時(shí)，ld-linux.so 將最先被裝載到內(nèi)存中，沒有其他程序知道去哪里查找 ld-linux.so，所以它的路徑必須是絕對的；當(dāng) ld-linux.so 被裝載以后，由它來去裝載可執(zhí)行文件和相關(guān)的共享庫，它將根據(jù) PATH 變量和 LD_LIBRARY_PATH 變量去磁盤上查找它們，因此可執(zhí)行文件和共享庫都可以不指定絕對路徑。
下面著重介紹動(dòng)態(tài)鏈接器本身。
動(dòng)態(tài)鏈接器（dynamic linker/loader）
Linux 下 elf 文件的動(dòng)態(tài)鏈接器是 ld-linux.so，即 /lib/ld-linux.so.2 。從名字來看和靜態(tài)鏈接器 ld （gcc 默認(rèn)使用的鏈接器，見參考資料[10]）類似。通過 man ld-linux 可以獲取與動(dòng)態(tài)鏈接器相關(guān)的資料，包括各種相關(guān)的環(huán)境變量和文件都有詳細(xì)的說明。
對于環(huán)境變量，除了上面提到過的 LD_LIBRARY_PATH 和 LD_BIND_NOW 變量外，還有其他幾個(gè)重要參數(shù)，比如 LD_PRELOAD 用于指定預(yù)裝載一些庫，以便替換其他庫中的函數(shù)，從而做一些安全方面的處理 [6]，[9]，[12]，而環(huán)境變量 LD_DEBUG 可以用來進(jìn)行動(dòng)態(tài)鏈接的相關(guān)調(diào)試。
對于文件，除了上面提到的 ld.so.conf 和 ld.so.cache 外，還有一個(gè)文件 /etc/ld.so.preload 用于指定需要預(yù)裝載的庫。
從上一小節(jié)中發(fā)現(xiàn)有一個(gè)專門的節(jié)區(qū) .interp 存放有動(dòng)態(tài)鏈接器，但是這個(gè)節(jié)區(qū)為什么叫做 .interp （interpeter）呢？因?yàn)楫?dāng) Shell 解釋器或者其他父進(jìn)程通過exec啟動(dòng)我們的程序時(shí)，系統(tǒng)會(huì)先為ld-linux創(chuàng)建內(nèi)存映像，然后把控制權(quán)交給ld-linux，之后ld-linux負(fù)責(zé)為可執(zhí)行程序提供運(yùn)行環(huán)境，負(fù)責(zé)解釋程序的運(yùn)行，因此ld-linux也叫做dynamic loader（或intepreter`）（關(guān)于程序的加載過程請參考資料 [13]）
那么在 exec （）之后和程序指令運(yùn)行之前的過程是怎樣的呢？ ld-linux.so 主要為程序本身創(chuàng)建了內(nèi)存映像（以下內(nèi)容摘自資料 [8]），大體過程如下：
- 將可執(zhí)行文件的內(nèi)存段添加到進(jìn)程映像中；
- 把共享目標(biāo)內(nèi)存段添加到進(jìn)程映像中；
- 為可執(zhí)行文件和它的共享目標(biāo)（動(dòng)態(tài)鏈接庫）執(zhí)行重定位操作；
- 關(guān)閉用來讀入可執(zhí)行文件的文件描述符，如果動(dòng)態(tài)鏈接程序收到過這樣的文件描述符的話；
- 將控制轉(zhuǎn)交給程序，使得程序好像從
exec()直接得到控制
關(guān)于第 1 步，在 ELF 文件的文件頭中就指定了該文件的入口地址，程序的代碼和數(shù)據(jù)部分會(huì)相繼 map 到對應(yīng)的內(nèi)存中。而關(guān)于可執(zhí)行文件本身的路徑，如果指定了 PATH 環(huán)境變量，ld-linux 會(huì)到 PATH 指定的相關(guān)目錄下查找。
$ readelf -h test | grep Entry
Entry point address: 0x80482b0對于第 2 步，上一節(jié)提到的 .dynamic 節(jié)區(qū)指定了可執(zhí)行文件依賴的庫名，ld-linux （在這里叫做動(dòng)態(tài)裝載器或程序解釋器比較合適）再從 LD_LIBRARY_PATH 指定的路徑中找到相關(guān)的庫文件或者直接從 /etc/ld.so.cache 庫緩沖中加載相關(guān)庫到內(nèi)存中。（關(guān)于進(jìn)程的內(nèi)存映像，推薦參考資料 [14]）
對于第 3 步，在前面已提到，如果設(shè)置了 LD_BIND_NOW 環(huán)境變量，這個(gè)動(dòng)作就會(huì)在此時(shí)發(fā)生，否則將會(huì)采用 lazy mode 方式，即當(dāng)某個(gè)符號被使用時(shí)才會(huì)進(jìn)行符號的重定位。不過無論在什么時(shí)候發(fā)生這個(gè)動(dòng)作，重定位的過程大體是一樣的（在后面將主要介紹該過程）。
對于第 4 步，這個(gè)主要是釋放文件描述符。
對于第 5 步，動(dòng)態(tài)鏈接器把程序控制權(quán)交還給程序。
現(xiàn)在關(guān)心的主要是第 3 步，即如何進(jìn)行符號的重定位？下面來探求這個(gè)過程。期間會(huì)逐步討論到和動(dòng)態(tài)鏈接密切相關(guān)的三個(gè)數(shù)據(jù)結(jié)構(gòu)，它們分別是 ELF 文件的過程鏈接表、全局偏移表和重定位表，這三個(gè)表都是 ELF 文件的節(jié)區(qū)。
過程鏈接表（plt）
從上面的演示發(fā)現(xiàn)，還有一個(gè) printf 符號的地址沒有確定，它應(yīng)該在動(dòng)態(tài)鏈接庫 libc.so 中定義，需要進(jìn)行動(dòng)態(tài)鏈接。這里假設(shè)采用 lazy mode 方式，即執(zhí)行到 printf 所在位置時(shí)才去解析該符號的地址。
假設(shè)當(dāng)前已經(jīng)執(zhí)行到了 printf 所在位置，即 call printf，我們通過 objdump 反編譯 test 程序的正文段看看。
$ objdump -d -s -j .text test | grep printf
804837c: e8 1f ff ff ff call 80482a0 <printf@plt>發(fā)現(xiàn)，該地址指向了 plt （即過程鏈接表）即地址 80482a0 處。下面查看該地址處的內(nèi)容。
$ objdump -D test | grep "80482a0" | grep -v call
080482a0 <printf@plt>:
80482a0: ff 25 8c 95 04 08 jmp *0x804958c發(fā)現(xiàn) 80482a0 地址對應(yīng)的是一條跳轉(zhuǎn)指令，跳轉(zhuǎn)到 0x804958c 地址指向的地址。到底 0x804958c 地址本身在什么地方呢？我們能否從 .dynamic 節(jié)區(qū)（該節(jié)區(qū)存放了和動(dòng)態(tài)鏈接相關(guān)的數(shù)據(jù)）獲取相關(guān)的信息呢？
$ readelf -d test
Dynamic section at offset 0x4ac contains 20 entries:
Tag Type Name/Value
0x00000001 (NEEDED) Shared library: [libc.so.6]
0x0000000c (INIT) 0x8048258
0x0000000d (FINI) 0x8048454
0x00000004 (HASH) 0x8048148
0x00000005 (STRTAB) 0x80481c0
0x00000006 (SYMTAB) 0x8048170
0x0000000a (STRSZ) 76 (bytes)
0x0000000b (SYMENT) 16 (bytes)
0x00000015 (DEBUG) 0x0
0x00000003 (PLTGOT) 0x8049578
0x00000002 (PLTRELSZ) 24 (bytes)
0x00000014 (PLTREL) REL
0x00000017 (JMPREL) 0x8048240
0x00000011 (REL) 0x8048238
0x00000012 (RELSZ) 8 (bytes)
0x00000013 (RELENT) 8 (bytes)
0x6ffffffe (VERNEED) 0x8048218
0x6fffffff (VERNEEDNUM) 1
0x6ffffff0 (VERSYM) 0x804820c
0x00000000 (NULL) 0x0發(fā)現(xiàn) 0x8049578 地址和 0x804958c 地址比較近，通過資料 [8] 查到前者正好是 .got.plt （即過程鏈接表）對應(yīng)的全局偏移表的入口地址。難道 0x804958c 正好位于 .got.plt 節(jié)區(qū)中？
全局偏移表（got）
現(xiàn)在進(jìn)入全局偏移表看看，
$ readelf -x .got.plt test
Hex dump of section '.got.plt':
0x08049578 ac940408 00000000 00000000 86820408 ................
0x08049588 96820408 a6820408 ........從上述結(jié)果可以看出 0x804958c 地址（即 0x08049588+4）處存放的是 a6820408，考慮到我的實(shí)驗(yàn)平臺(tái)是 i386，字節(jié)順序是 little-endian 的，所以實(shí)際數(shù)值應(yīng)該是 080482a6，也就是說 * （0x804958c）的值是080482a6，這個(gè)地址剛好是過程鏈接表的最后一項(xiàng)call 80482a0printf@plt中80482a0地址往后偏移6 個(gè)字節(jié)，容易猜到該地址應(yīng)該就是jmp` 指令的后一條地址。
$ objdump -d -d -s -j .plt test | grep "080482a0 <printf@plt>:" -A 3
080482a0 <printf@plt>:
80482a0: ff 25 8c 95 04 08 jmp *0x804958c
80482a6: 68 10 00 00 00 push $0x10
80482ab: e9 c0 ff ff ff jmp 8048270 <_init+0x18>80482a6 地址恰巧是一條 push 指令，隨后是一條 jmp 指令（暫且不管 push 指令入棧的內(nèi)容有什么意義），執(zhí)行完 push 指令之后，就會(huì)跳轉(zhuǎn)到 8048270 地址處，下面看看 8048270 地址處到底有哪些指令。
$ objdump -d -d -s -j .plt test | grep -v "jmp 8048270 <_init+0x18>" | grep "08048270" -A 2
08048270 <__gmon_start__@plt-0x10>:
8048270: ff 35 7c 95 04 08 pushl 0x804957c
8048276: ff 25 80 95 04 08 jmp *0x8049580同樣是一條入棧指令跟著一條跳轉(zhuǎn)指令。不過這兩個(gè)地址 0x804957c 和 0x8049580 是連續(xù)的，而且都很熟悉，剛好都在 .got.plt 表里頭（從上面我們已經(jīng)知道 .got.plt 的入口是 0x08049578）。這樣的話，我們得確認(rèn)這兩個(gè)地址到底有什么內(nèi)容。
$ readelf -x .got.plt test
Hex dump of section '.got.plt':
0x08049578 ac940408 00000000 00000000 86820408 ................
0x08049588 96820408 a6820408 ........不過，遺憾的是通過 readelf 查看到的這兩個(gè)地址信息都是 0，它們到底是什么呢？
現(xiàn)在只能求助參考資料 [8]，該資料的“3.8.5 過程鏈接表”部分在介紹過程鏈接表和全局偏移表相互合作解析符號的過程中的三步涉及到了這兩個(gè)地址和前面沒有說明的 push $ 0x10 指令。
- 在程序第一次創(chuàng)建內(nèi)存映像時(shí)，動(dòng)態(tài)鏈接器為全局偏移表的第二（
0x804957c）和第三項(xiàng)（0x8049580）設(shè)置特殊值。 - 原步驟 5。在跳轉(zhuǎn)到
08048270 <__gmon_start__@plt-0x10>，即過程鏈接表的第一項(xiàng)之前，有一條壓入棧指令，即push $0x10，0x10是相對于重定位表起始地址的一個(gè)偏移地址，這個(gè)偏移地址到底有什么用呢？它應(yīng)該是提供給動(dòng)態(tài)鏈接器的什么信息吧？后面再說明。 - 原步驟 6。跳轉(zhuǎn)到過程鏈接表的第一項(xiàng)之后，壓入了全局偏移表中的第二項(xiàng)（即
0x804957c處），“為動(dòng)態(tài)鏈接器提供了識(shí)別信息的機(jī)會(huì)”（具體是什么呢？后面會(huì)簡單提到，但這個(gè)并不是很重要)，然后跳轉(zhuǎn)到全局偏移表的第三項(xiàng)（0x8049580，這一項(xiàng)比較重要），把控制權(quán)交給動(dòng)態(tài)鏈接器。
從這三步發(fā)現(xiàn)程序運(yùn)行時(shí)地址 0x8049580 處存放的應(yīng)該是動(dòng)態(tài)鏈接器的入口地址，而重定位表 0x10 位置處和 0x804957c 處應(yīng)該為動(dòng)態(tài)鏈接器提供了解析符號需要的某些信息。
在繼續(xù)之前先總結(jié)一下過程鏈接表和全局偏移表。上面的操作過程僅僅從“局部”看過了這兩個(gè)表，但是并沒有宏觀地看里頭的內(nèi)容。下面將宏觀的分析一下， 對于過程鏈接表：
$ objdump -d -d -s -j .plt test
08048270 <__gmon_start__@plt-0x10>:
8048270: ff 35 7c 95 04 08 pushl 0x804957c
8048276: ff 25 80 95 04 08 jmp *0x8049580
804827c: 00 00 add %al,(%eax)
...
08048280 <__gmon_start__@plt>:
8048280: ff 25 84 95 04 08 jmp *0x8049584
8048286: 68 00 00 00 00 push $0x0
804828b: e9 e0 ff ff ff jmp 8048270 <_init+0x18>
08048290 <__libc_start_main@plt>:
8048290: ff 25 88 95 04 08 jmp *0x8049588
8048296: 68 08 00 00 00 push $0x8
804829b: e9 d0 ff ff ff jmp 8048270 <_init+0x18>
080482a0 <printf@plt>:
80482a0: ff 25 8c 95 04 08 jmp *0x804958c
80482a6: 68 10 00 00 00 push $0x10
80482ab: e9 c0 ff ff ff jmp 8048270 <_init+0x18>除了該表中的第一項(xiàng)外，其他各項(xiàng)實(shí)際上是類似的。而最后一項(xiàng) 080482a0 <printf@plt> 和第一項(xiàng)我們都分析過，因此不難理解其他幾項(xiàng)的作用。過程鏈接表沒有辦法單獨(dú)工作，因?yàn)樗腿制票硎顷P(guān)聯(lián)的，所以在說明它的作用之前，先從總體上來看一下全局偏移表。
$ readelf -x .got.plt test
Hex dump of section '.got.plt':
0x08049578 ac940408 00000000 00000000 86820408 ................
0x08049588 96820408 a6820408 ........比較全局偏移表中 0x08049584 處開始的數(shù)據(jù)和過程鏈接表第二項(xiàng)開始的連續(xù)三項(xiàng)中 push 指定所在的地址，不難發(fā)現(xiàn)，它們是對應(yīng)的。而 0x0804958c 即 push 0x10 對應(yīng)的地址我們剛才提到過（下一節(jié)會(huì)進(jìn)一步分析），其他幾項(xiàng)的作用類似，都是跳回到過程鏈接表的 push 指令處，隨后就跳轉(zhuǎn)到過程鏈接表的第一項(xiàng)，以便解析相應(yīng)的符號（實(shí)際上過程鏈接表的第一個(gè)表項(xiàng)是進(jìn)入動(dòng)態(tài)鏈接器，而之前的連續(xù)兩個(gè)指令則傳送了需要解析的符號等信息）。另外 0x08049578 和 0x08049580 處分別存放有傳遞給動(dòng)態(tài)鏈接庫的相關(guān)信息和動(dòng)態(tài)鏈接器本身的入口地址。但是還有一個(gè)地址 0x08049578，這個(gè)地址剛好是 .dynamic 的入口地址，該節(jié)區(qū)存放了和動(dòng)態(tài)鏈接過程相關(guān)的信息，資料 [8] 提到這個(gè)表項(xiàng)實(shí)際上保留給動(dòng)態(tài)鏈接器自己使用的，以便在不依賴其他程序的情況下對自己進(jìn)行初始化，所以下面將不再關(guān)注該表項(xiàng)。
$ objdump -D test | grep 080494ac
080494ac <_DYNAMIC>:重定位表
這里主要接著上面的 push 0x10 指令來分析。通過資料 [8] 發(fā)現(xiàn)重定位表包含如何修改其他節(jié)區(qū)的信息，以便動(dòng)態(tài)鏈接器對某些節(jié)區(qū)內(nèi)的符號地址進(jìn)行重定位（修改為新的地址）。那到底重定位表項(xiàng)提供了什么樣的信息呢？
- 每一個(gè)重定位項(xiàng)有三部分內(nèi)容，我們重點(diǎn)關(guān)注前兩部分。
- 第一部分是
r_offset，這里考慮的是可執(zhí)行文件，因此根據(jù)資料發(fā)現(xiàn)，它的取值是被重定位影響（可以說改變或修改）到的存儲(chǔ)單元的虛擬地址。 - 第二部分是
r_info，此成員給出要進(jìn)行重定位的符號表索引（重定位表項(xiàng)引用到的符號表），以及將實(shí)施的重定位類型（如何進(jìn)行符號的重定位）。(Type)。
先來看看重定位表的具體內(nèi)容，
$ readelf -r test
Relocation section '.rel.dyn' at offset 0x238 contains 1 entries:
Offset Info Type Sym.Value Sym. Name
08049574 00000106 R_386_GLOB_DAT 00000000 __gmon_start__
Relocation section '.rel.plt' at offset 0x240 contains 3 entries:
Offset Info Type Sym.Value Sym. Name
08049584 00000107 R_386_JUMP_SLOT 00000000 __gmon_start__
08049588 00000207 R_386_JUMP_SLOT 00000000 __libc_start_main
0804958c 00000407 R_386_JUMP_SLOT 00000000 printf僅僅關(guān)注和過程鏈接表相關(guān)的 .rel.plt 部分，0x10 剛好是 1*16+0*1，即 16 字節(jié)，作為重定位表的偏移，剛好對應(yīng)該表的第三行。發(fā)現(xiàn)這個(gè)結(jié)果中竟然包含了和 printf 符號相關(guān)的各種信息。不過重定位表中沒有直接指定符號 printf，而是根據(jù) r_info 部分從動(dòng)態(tài)符號表中計(jì)算出來的，注意觀察上述結(jié)果中的 Info 一列的 1，2，4 和下面結(jié)果的 Num 列的對應(yīng)關(guān)系。
$ readelf -s test | grep ".dynsym" -A 6
Symbol table '.dynsym' contains 5 entries:
Num: Value Size Type Bind Vis Ndx Name
0: 00000000 0 NOTYPE LOCAL DEFAULT UND
1: 00000000 0 NOTYPE WEAK DEFAULT UND __gmon_start__
2: 00000000 410 FUNC GLOBAL DEFAULT UND __libc_start_main@GLIBC_2.0 (2)
3: 08048474 4 OBJECT GLOBAL DEFAULT 14 _IO_stdin_used
4: 00000000 57 FUNC GLOBAL DEFAULT UND printf@GLIBC_2.0 (2)也就是說在執(zhí)行過程鏈接表中的第一項(xiàng)的跳轉(zhuǎn)指令（jmp *0x8049580）調(diào)用動(dòng)態(tài)鏈接器以后，動(dòng)態(tài)鏈接器因?yàn)橛辛?push 0x10，從而可以通過該重定位表項(xiàng)中的 r_info 找到對應(yīng)符號（printf）在符號表（.dynsym）中的相關(guān)信息。
除此之外，符號表中還有 Offset （r_offset）以及Type這兩個(gè)重要信息，前者表示該重定位操作后可能影響的地址0804958c，這個(gè)地址剛好是got表項(xiàng)的最后一項(xiàng)，原來存放的是push 0x10指令的地址。這意味著，該地址處的內(nèi)容將被修改，而如何修改呢？根據(jù)Type類型R_386_JUMP_SLOT`，通過資料 [8] 查找到該類型對應(yīng)的說明如下（原資料有誤，下面做了修改）：鏈接編輯器創(chuàng)建這種重定位類型主要是為了支持動(dòng)態(tài)鏈接。其偏移地址成員給出過程鏈接表項(xiàng)的位置。動(dòng)態(tài)鏈接器修改全局偏移表項(xiàng)的內(nèi)容，把控制傳輸給指定符號的地址。
這說明，動(dòng)態(tài)鏈接器將根據(jù)該類型對全局偏移表中的最有一項(xiàng)，即 0804958c 地址處的內(nèi)容進(jìn)行修改，修改為符號的實(shí)際地址，即 printf 函數(shù)在動(dòng)態(tài)鏈接庫的內(nèi)存映像中的地址。
到這里，動(dòng)態(tài)鏈接的宏觀過程似乎已經(jīng)了然于心，不過一些細(xì)節(jié)還是不太清楚。
下面先介紹動(dòng)態(tài)鏈接庫的創(chuàng)建，隱式調(diào)用和顯示調(diào)用，接著進(jìn)一步澄清上面還不太清楚的細(xì)節(jié)，即全局偏移表中第二項(xiàng)到底傳遞給了動(dòng)態(tài)鏈接器什么信息？第三項(xiàng)是否就是動(dòng)態(tài)鏈接器的地址？并討論通過設(shè)置 LD_BIND_NOW 而不采用默認(rèn)的 lazy mode 進(jìn)行動(dòng)態(tài)鏈接和采用 lazy mode 動(dòng)態(tài)鏈接的區(qū)別？
動(dòng)態(tài)鏈接庫的創(chuàng)建和調(diào)用
在介紹動(dòng)態(tài)符號鏈接的更多細(xì)節(jié)之前，先來了解一下動(dòng)態(tài)鏈接庫的創(chuàng)建和兩種使用方法，進(jìn)而引出符號解析的后臺(tái)細(xì)節(jié)。
創(chuàng)建動(dòng)態(tài)鏈接庫
首先來創(chuàng)建一個(gè)簡單動(dòng)態(tài)鏈接庫。
代碼：
/* myprintf.c */
#include <stdio.h>
int myprintf(char *str)
{
printf("%s\n", str);
return 0;
}/* myprintf.h */
#ifndef _MYPRINTF_H
#define _MYPRINTF_H
int myprintf(char *);
#endif演示：
$ gcc -c myprintf.c
$ gcc -shared -Wl,-soname,libmyprintf.so.0 -o libmyprintf.so.0.0 myprintf.o
$ ln -sf libmyprintf.so.0.0 libmyprintf.so.0
$ ln -fs libmyprintf.so.0 libmyprintf.so
$ ls
libmyprintf.so libmyprintf.so.0 libmyprintf.so.0.0 myprintf.c myprintf.h myprintf.o得到三個(gè)文件 libmyprintf.so，libmyprintf.so.0，libmyprintf.so.0.0，這些庫暫且存放在當(dāng)前目錄下。這里有一個(gè)問題值得關(guān)注，那就是為什么要?jiǎng)?chuàng)建兩個(gè)符號鏈接呢？答案是為了在不影響兼容性的前提下升級庫 [5] 。
隱式使用該庫
現(xiàn)在寫一段代碼來使用該庫，調(diào)用其中的 myprintf 函數(shù)，這里是隱式使用該庫：在代碼中并沒有直接使用該庫，而是通過調(diào)用 myprintf 隱式地使用了該庫，在編譯引用該庫的可執(zhí)行文件時(shí)需要通過 -l 參數(shù)指定該庫的名字。
/* test.c */
#include <stdio.h>
#include <myprintf.h>
int main()
{
myprintf("Hello World");
return 0;
}編譯：
$ gcc -o test test.c -lmyprintf -L./ -I./直接運(yùn)行 test，提示找不到該庫，因?yàn)閹斓哪J(rèn)搜索路徑里頭沒有包含當(dāng)前目錄：
$ ./test
./test: error while loading shared libraries: libmyprintf.so: cannot open shared object file: No such file or directory如果指定庫的搜索路徑，則可以運(yùn)行：
$ LD_LIBRARY_PATH=$PWD ./test
Hello World顯式使用庫
LD_LIBRARY_PATH 環(huán)境變量使得庫可以放到某些指定的路徑下面，而無須在調(diào)用程序中顯式的指定該庫的絕對路徑，這樣避免了把程序限制在某些絕對路徑下，方便庫的移動(dòng)。
雖然顯式調(diào)用有不便，但是能夠避免隱式調(diào)用搜索路徑的時(shí)間消耗，提高效率，除此之外，顯式調(diào)用為我們提供了一組函數(shù)調(diào)用，讓符號的重定位過程一覽無遺。
/* test1.c */
#include <dlfcn.h> /* dlopen, dlsym, dlerror */
#include <stdlib.h> /* exit */
#include <stdio.h> /* printf */
#define LIB_SO_NAME "./libmyprintf.so"
#define FUNC_NAME "myprintf"
typedef int (*func)(char *);
int main(void)
{
void *h;
char *e;
func f;
h = dlopen(LIB_SO_NAME, RTLD_LAZY);
if ( !h ) {
printf("failed load libary: %s\n", LIB_SO_NAME);
exit(-1);
}
f = dlsym(h, FUNC_NAME);
e = dlerror();
if (e != NULL) {
printf("search %s error: %s\n", FUNC_NAME, LIB_SO_NAME);
exit(-1);
}
f("Hello World");
exit(0);
}演示：
$ gcc -o test1 test1.c -ldl這種情況下，無須包含頭文件。從這個(gè)代碼中很容易看出符號重定位的過程：
- 首先通過
dlopen找到依賴庫，并加載到內(nèi)存中，再返回該庫的handle，通過dlopen我們可以指定RTLD_LAZY采用lazy mode動(dòng)態(tài)鏈接模式，如果采用RTLD_NOW則和隱式調(diào)用時(shí)設(shè)置LD_BIN_NOW類似。 - 找到該庫以后就是對某個(gè)符號進(jìn)行重定位，這里是確定
myprintf函數(shù)的地址。 - 找到函數(shù)地址以后就可以直接調(diào)用該函數(shù)了。
關(guān)于 dlopen，dlsym 等后臺(tái)工作細(xì)節(jié)建議參考資料 [15] 。
隱式調(diào)用的動(dòng)態(tài)符號鏈接過程和上面類似。下面通過一些實(shí)例來確定之前沒有明確的兩個(gè)內(nèi)容：即全局偏移表中的第二項(xiàng)和第三項(xiàng)，并進(jìn)一步討論lazy mode和非lazy mode的區(qū)別。
動(dòng)態(tài)鏈接過程
因?yàn)橥ㄟ^ ELF 文件，我們就可以確定全局偏移表的位置，因此為了確定全局偏移表位置的第三項(xiàng)和第四項(xiàng)的內(nèi)容，有兩種辦法：
- 通過
gdb調(diào)試。 - 直接在函數(shù)內(nèi)部打印。
因?yàn)橘Y料[3]詳細(xì)介紹了第一種方法，這里試著通過第二種方法來確定這兩個(gè)地址的值。
/**
* got.c -- get the relative content of the got(global offset table) of an elf file
*/
#include <stdio.h>
#define GOT 0x8049614
int main(int argc, char *argv[])
{
long got2, got3;
long old_addr, new_addr;
got2=*(long *)(GOT+4);
got3=*(long *)(GOT+8);
old_addr=*(long *)(GOT+24);
printf("Hello World\n");
new_addr=*(long *)(GOT+24);
printf("got2: 0x%0x, got3: 0x%0x, old_addr: 0x%0x, new_addr: 0x%0x\n",
got2, got3, old_addr, new_addr);
return 0;
}在寫好上面的代碼后就需要確定全局偏移表的地址，然后把該地址設(shè)置為代碼中的宏 GOT 。
$ make got
$ readelf -d got | grep PLTGOT
0x00000003 (PLTGOT) 0x8049614注：這里假設(shè)大家用的都是 i386 的系統(tǒng)，如果要在 X86_64 位系統(tǒng)上要編譯生成 i386 上的可執(zhí)行文件，需要給 gcc 傳遞一個(gè) -m32 參數(shù)，例如：
$ gcc -m32 -o got got.c把地址 0x8049614 替換到上述代碼中，然后重新編譯運(yùn)行，查看結(jié)果。
$ make got
$ Hello World
got2: 0xb7f376d8, got3: 0xb7f2ef10, old_addr: 0x80482da, new_addr: 0xb7e19a20
$ ./got
Hello World
got2: 0xb7f1e6d8, got3: 0xb7f15f10, old_addr: 0x80482da, new_addr: 0xb7e00a20通過兩次運(yùn)行，發(fā)現(xiàn)全局偏移表中的這兩項(xiàng)是變化的，并且 printf 的地址對應(yīng)的 new_addr 也是變化的，說明 libc 和 ld-linux 這兩個(gè)庫啟動(dòng)以后對應(yīng)的虛擬地址并不確定。因此，無法直接跟蹤到那個(gè)地址處的內(nèi)容，還得借助調(diào)試工具，以便確認(rèn)它們。
下面重新編譯 got，加上 -g 參數(shù)以便調(diào)試，并通過調(diào)試確認(rèn) got2，got3，以及調(diào)用 printf 前后 printf 地址的重定位情況。
$ gcc -g -o got got.c
$ gdb -q ./got
(gdb) l
5 #include <stdio.h>
6
7 #define GOT 0x8049614
8
9 int main(int argc, char *argv[])
10 {
11 long got2, got3;
12 long old_addr, new_addr;
13
14 got2=*(long *)(GOT+4);
(gdb) l
15 got3=*(long *)(GOT+8);
16 old_addr=*(long *)(GOT+24);
17
18 printf("Hello World\n");
19
20 new_addr=*(long *)(GOT+24);
21
22 printf("got2: 0x%0x, got3: 0x%0x, old_addr: 0x%0x, new_addr: 0x%0x\n",
23 got2, got3, old_addr, new_addr);
24在第一個(gè) printf 處設(shè)置一個(gè)斷點(diǎn)：
(gdb) break 18
Breakpoint 1 at 0x80483c3: file got.c, line 18.在第二個(gè) printf 處設(shè)置一個(gè)斷點(diǎn)：
(gdb) break 22
Breakpoint 2 at 0x80483dd: file got.c, line 22.運(yùn)行到第一個(gè) printf 之前會(huì)停止：
(gdb) r
Starting program: /mnt/hda8/Temp/c/program/got
Breakpoint 1, main () at got.c:18
18 printf("Hello World\n");查看執(zhí)行 printf 之前的全局偏移表內(nèi)容：
(gdb) x/8x 0x8049614
0x8049614 <_GLOBAL_OFFSET_TABLE_>: 0x08049548 0xb7f3c6d8 0xb7f33f10 0x080482aa
0x8049624 <_GLOBAL_OFFSET_TABLE_+16>: 0xb7ddbd20 0x080482ca 0x080482da 0x00000000查看 GOT 表項(xiàng)的最有一項(xiàng)，發(fā)現(xiàn)剛好是 PLT 表中 push 指令的地址：
(gdb) disassemble 0x080482da
Dump of assembler code for function puts@plt:
0x080482d4 <puts@plt+0>: jmp *0x804962c
0x080482da <puts@plt+6>: push $0x18
0x080482df <puts@plt+11>: jmp 0x8048294 <_init+24>說明此時(shí)還沒有進(jìn)行進(jìn)行符號的重定位，不過發(fā)現(xiàn)并非 printf，而是 puts(1)。
接著查看 GOT 第三項(xiàng)的內(nèi)容，剛好是 dl-linux 對應(yīng)的代碼：
(gdb) disassemble 0xb7f33f10
Dump of assembler code for function _dl_runtime_resolve:
0xb7f33f10 <_dl_runtime_resolve+0>: push %eax
0xb7f33f11 <_dl_runtime_resolve+1>: push %ecx
0xb7f33f12 <_dl_runtime_resolve+2>: push %edx可通過 nm /lib/ld-linux.so.2 | grep _dl_runtime_resolve 進(jìn)行確認(rèn)。
然后查看 GOT 表第二項(xiàng)處的內(nèi)容，看不出什么特別的信息，反編譯時(shí)提示無法反編譯：
(gdb) x/8x 0xb7f3c6d8
0xb7f3c6d8: 0x00000000 0xb7f39c3d 0x08049548 0xb7f3c9b8
0xb7f3c6e8: 0x00000000 0xb7f3c6d8 0x00000000 0xb7f3c9a4在 *(0xb7f33f10) 指向的代碼處設(shè)置一個(gè)斷點(diǎn)，確認(rèn)它是否被執(zhí)行：
(gdb) break *(0xb7f33f10)
break *(0xb7f33f10)
Breakpoint 3 at 0xb7f3cf10
(gdb) c
Continuing.
Breakpoint 3, 0xb7f3cf10 in _dl_runtime_resolve () from /lib/ld-linux.so.2繼續(xù)運(yùn)行，直到第二次調(diào)用 printf ：
(gdb) c
Continuing.
Hello World
Breakpoint 2, main () at got.c:22
22 printf("got2: 0x%0x, got3: 0x%0x, old_addr: 0x%0x, new_addr: 0x%0x\n",再次查看 GOT 表項(xiàng)，發(fā)現(xiàn) GOT 表的最后一項(xiàng)的值應(yīng)該被修改：
(gdb) x/8x 0x8049614
0x8049614 <_GLOBAL_OFFSET_TABLE_>: 0x08049548 0xb7f3c6d8 0xb7f33f10 0x080482aa
0x8049624 <_GLOBAL_OFFSET_TABLE_+16>: 0xb7ddbd20 0x080482ca 0xb7e1ea20 0x00000000查看 GOT 表最后一項(xiàng)，發(fā)現(xiàn)變成了 puts 函數(shù)的代碼，說明進(jìn)行了符號 puts 的重定位（2）：
(gdb) disassemble 0xb7e1ea20
Dump of assembler code for function puts:
0xb7e1ea20 <puts+0>: push %ebp
0xb7e1ea21 <puts+1>: mov %esp,%ebp
0xb7e1ea23 <puts+3>: sub $0x1c,%esp通過演示發(fā)現(xiàn)一個(gè)問題（1）（2），即本來調(diào)用的是 printf，為什么會(huì)進(jìn)行 puts 的重定位呢？通過 gcc -S 參數(shù)編譯生成匯編代碼后發(fā)現(xiàn)，gcc 把 printf 替換成了 puts，因此不難理解程序運(yùn)行過程為什么對 puts 進(jìn)行了重定位。
從演示中不難發(fā)現(xiàn)，當(dāng)符號被使用到時(shí)才進(jìn)行重定位。因?yàn)橥ㄟ^調(diào)試發(fā)現(xiàn)在執(zhí)行 printf 之后，GOT 表項(xiàng)的最后一項(xiàng)才被修改為 printf （確切的說是 puts）的地址。這就是所謂的 lazy mode 動(dòng)態(tài)符號鏈接方式。
除此之外，我們?nèi)菀装l(fā)現(xiàn) GOT 表第三項(xiàng)確實(shí)是 ld-linux.so 中的某個(gè)函數(shù)地址，并且發(fā)現(xiàn)在執(zhí)行 printf 語句之前，先進(jìn)入了 ld-linux.so 的 _dl_runtime_resolve 函數(shù)，而且在它返回之后，GOT 表的最后一項(xiàng)才變?yōu)?printf （puts）的地址。
本來打算通過第一個(gè)斷點(diǎn)確認(rèn)第二次調(diào)用 printf 時(shí)不再需要進(jìn)行動(dòng)態(tài)符號鏈接的，不過因?yàn)?gcc 把第一個(gè)替換成了 puts，所以這里沒有辦法繼續(xù)調(diào)試。如果想確認(rèn)這個(gè)，你可以通過寫兩個(gè)一樣的 printf 語句看看。實(shí)際上第一次鏈接以后，GOT 表的第三項(xiàng)已經(jīng)修改了，當(dāng)下次再進(jìn)入過程鏈接表，并執(zhí)行 jmp *(全局偏移表中某一個(gè)地址) 指令時(shí)，*(全局偏移表中某一個(gè)地址) 已經(jīng)被修改為了對應(yīng)符號的實(shí)際地址，這樣 jmp 語句會(huì)自動(dòng)跳轉(zhuǎn)到符號的地址處運(yùn)行，執(zhí)行具體的函數(shù)代碼，因此無須再進(jìn)行重定位。
到現(xiàn)在 GOT 表中只剩下第二項(xiàng)還沒有被確認(rèn)，通過資料 [3] 我們發(fā)現(xiàn)，該項(xiàng)指向一個(gè) link_map 類型的數(shù)據(jù)，是一個(gè)鑒別信息，具體作用對我們來說并不是很重要，如果想了解，請參考資料 [16] 。
下面通過設(shè)置 LD_BIND_NOW 再運(yùn)行一下 got 程序并查看結(jié)果，比較它與默認(rèn)的動(dòng)態(tài)鏈接方式（lazy mode）的異同。
-
設(shè)置
LD_BIND_NOW環(huán)境變量的運(yùn)行結(jié)果
$ LD_BIND_NOW=1 ./got
Hello World
掃描二維碼
下載編程獅App
編程獅公眾號
更多建議：