如何找出运行时可执行文件加载的动态库？

63

我想找出运行时二进制加载的动态库的列表（及其完整路径）。我正在使用CentOS 6.0。这个怎么做？

executable libraries dynamic-linking

61

您可以使用以下ldd命令执行此操作：

NAME
       ldd - print shared library dependencies

SYNOPSIS
       ldd [OPTION]...  FILE...

DESCRIPTION
       ldd  prints  the  shared  libraries  required by each program or shared
       library specified on the command line.
....

例：

$ ldd /bin/ls
    linux-vdso.so.1 =>  (0x00007fff87ffe000)
    libselinux.so.1 => /lib/x86_64-linux-gnu/libselinux.so.1 (0x00007ff0510c1000)
    librt.so.1 => /lib/x86_64-linux-gnu/librt.so.1 (0x00007ff050eb9000)
    libacl.so.1 => /lib/x86_64-linux-gnu/libacl.so.1 (0x00007ff050cb0000)
    libc.so.6 => /lib/x86_64-linux-gnu/libc.so.6 (0x00007ff0508f0000)
    libdl.so.2 => /lib/x86_64-linux-gnu/libdl.so.2 (0x00007ff0506ec000)
    /lib64/ld-linux-x86-64.so.2 (0x00007ff0512f7000)
    libpthread.so.0 => /lib/x86_64-linux-gnu/libpthread.so.0 (0x00007ff0504ce000)
    libattr.so.1 => /lib/x86_64-linux-gnu/libattr.so.1 (0x00007ff0502c9000)

— cuonglm
source

1

任何关于macOS等同于此的想法吗？它没有lld在达尔文出现，也无法通过自制程序找到。

— mz2

7

在macOS上：otool -L <path-to-binary>

— 理查德·维尼

请注意，这可能会执行二进制文件。因此，如果二进制文件不受信任，最好不要使用ldd。请参见手册页。

— 保罗·鲁尼

45

readelf -d $executable | grep 'NEEDED'

如果您无法运行该可执行文件，例如，如果它是交叉编译的，或者您不信任它，则可以使用：

在通常情况下，ldd会使用LD_TRACE_LOADED_OBJECTS环境变量设置为1来调用标准动态链接器（请参阅ld.so（8）），这会导致链接器显示库依赖关系。但是请注意，在某些情况下，ldd的某些版本可能会尝试通过直接执行程序来获取依赖项信息。因此，永远不要在不受信任的可执行文件上使用ldd，因为这可能会导致执行任意代码。

例：

readelf -d /bin/ls | grep 'NEEDED'

示例输出：

 0x0000000000000001 (NEEDED)             Shared library: [libselinux.so.1]
 0x0000000000000001 (NEEDED)             Shared library: [libacl.so.1]
 0x0000000000000001 (NEEDED)             Shared library: [libc.so.6]

请注意，库可以依赖于其他库，因此现在您需要查找依赖关系。

经常有效的幼稚方法是：

$ locate libselinux.so.1
/lib/i386-linux-gnu/libselinux.so.1
/lib/x86_64-linux-gnu/libselinux.so.1
/mnt/debootstrap/lib/x86_64-linux-gnu/libselinux.so.1

但是更精确的方法是了解ldd搜索路径/缓存。我认为ldconfig是要走的路。

选择一个，然后重复：

readelf -d /lib/x86_64-linux-gnu/libselinux.so.1 | grep 'NEEDED'

样本输出：

0x0000000000000001 (NEEDED)             Shared library: [libpcre.so.3]
0x0000000000000001 (NEEDED)             Shared library: [libdl.so.2]
0x0000000000000001 (NEEDED)             Shared library: [libc.so.6]
0x0000000000000001 (NEEDED)             Shared library: [ld-linux-x86-64.so.2]

等等。

也可以看看：

/proc/<pid>/maps 用于运行进程

Basile提到，这对于查找正在运行的可执行文件当前正在使用的所有库很有用。例如：

sudo awk '/\.so/{print $6}' /proc/1/maps | sort -u

显示init（PID 1）当前加载的所有动态依赖项：

/lib/x86_64-linux-gnu/ld-2.23.so
/lib/x86_64-linux-gnu/libapparmor.so.1.4.0
/lib/x86_64-linux-gnu/libaudit.so.1.0.0
/lib/x86_64-linux-gnu/libblkid.so.1.1.0
/lib/x86_64-linux-gnu/libc-2.23.so
/lib/x86_64-linux-gnu/libcap.so.2.24
/lib/x86_64-linux-gnu/libdl-2.23.so
/lib/x86_64-linux-gnu/libkmod.so.2.3.0
/lib/x86_64-linux-gnu/libmount.so.1.1.0
/lib/x86_64-linux-gnu/libpam.so.0.83.1
/lib/x86_64-linux-gnu/libpcre.so.3.13.2
/lib/x86_64-linux-gnu/libpthread-2.23.so
/lib/x86_64-linux-gnu/librt-2.23.so
/lib/x86_64-linux-gnu/libseccomp.so.2.2.3
/lib/x86_64-linux-gnu/libselinux.so.1
/lib/x86_64-linux-gnu/libuuid.so.1.3.0

此方法还显示了通过打开的库dlopen，并通过在Ubuntu 18.04 上进行了破解的最小设置进行了测试sleep(1000)。

另请参阅：如何查看Linux中当前加载的共享库？| 超级用户

— Ciro Santilli新疆改造中心法轮功六四事件
source

1

关于readelf方法的一个好地方是它也可以在跨二进制文件上运行（例如：amd64上的armhf）

— Ghostrider，

13

ldd和lsof显示直接或在给定时刻加载的库。他们没有考虑通过dlopen（或丢弃dlclose）加载的库。您可以使用来更好地了解这一点strace，例如，

strace -e trace=open myprogram

（自从dlopen最终调用以来open-尽管您当然可以为64位打开使用不同名称的系统...）。

例：

strace -e trace=open date

告诉我这个：

open("/etc/ld.so.cache", O_RDONLY)      = 3
open("/lib/x86_64-linux-gnu/librt.so.1", O_RDONLY) = 3
open("/lib/x86_64-linux-gnu/libc.so.6", O_RDONLY) = 3
open("/lib/x86_64-linux-gnu/libpthread.so.0", O_RDONLY) = 3
open("/usr/lib/locale/locale-archive", O_RDONLY) = 3
open("/etc/localtime", O_RDONLY)        = 3
Wed Apr 12 04:56:32 EDT 2017

从中可以grep“ .so”名称以仅查看共享对象。

— 托马斯·迪基
source

3

一项改进：strace -e trace=open,openat myprogram

— Cyker

不错的方法。/proc/<pid>/maps也显示了dlopen库BTW：unix.stackexchange.com/questions/120015/... ltrace -S输出更酷，因为它表明这两个系统调用和库调用像dlopen：unix.stackexchange.com/questions/226524/...

— 西罗桑蒂利新疆改造中心法轮功六四事件

7

lsof还可以向您显示一个特定进程正在使用哪些库。

即

$ pidof nginx
6920 6919

$ lsof -p 6919|grep mem
nginx   6919 root  mem    REG               0,64    65960     43 /lib64/libnss_files-2.12.so
nginx   6919 root  mem    REG               0,64    19536     36 /lib64/libdl-2.12.so
nginx   6919 root  mem    REG               0,64    10312   1875 /lib64/libfreebl3.so
nginx   6919 root  mem    REG               0,64  1923352     38 /lib64/libc-2.12.so
nginx   6919 root  mem    REG               0,64    88600   1034 /lib64/libz.so.1.2.3
nginx   6919 root  mem    REG               0,64  1967392   1927 /usr/lib64/libcrypto.so.1.0.1e
nginx   6919 root  mem    REG               0,64   183080   1898 /lib64/libpcre.so.0.0.1
nginx   6919 root  mem    REG               0,64    40400   1217 /lib64/libcrypt-2.12.so
nginx   6919 root  mem    REG               0,64   142688     77 /lib64/libpthread-2.12.so
nginx   6919 root  mem    REG               0,64   154664     31 /lib64/ld-2.12.so

— 贡戈拉
source

2

对于pid 1234 的过程，您还可以读取/proc/1234/maps（文本）伪文件（读取proc（5） ...）或使用pmap（1）

这提供了该进程的虚拟地址空间，因此提供了内存映射的文件（包括共享库，甚至是dlopen（3）版本）

（当然，使用ps aux或pgrep（1）查找运行某些给定程序的进程）

— 巴西勒·斯塔林凯维奇
source

1

对于大量查询：

创建一个小脚本（useslib）并放入PATH（或在下面的命令中指定完整路径）
```
#! /bin/bash
ldd $1 | grep -q $2
exit $?
```

在find命令中使用它，例如：

find /usr/bin/ -executable -type f -exec useslib {} libgtk-x11-2.0 \; -print

（libgtk-x11-2.0似乎是gtk2 lib）

— 类固醇
source

0

可以使用pmap。

例如，开始一个过程： $ watch date

取得pid： $ ps -ef | grep watch

显示内存图： $ pmap <pid>

显示完整路径： $ pmap <pid> -p

$ pmap 72770
72770:   watch date
00005613a32c9000     20K r-x-- watch
00005613a34cd000      4K r---- watch
00005613a34ce000      4K rw--- watch
00005613a4f6a000    264K rw---   [ anon ]
00007f2f3a7d5000 204616K r---- locale-archive
00007f2f46fa7000   1748K r-x-- libc-2.27.so
00007f2f4715c000   2048K ----- libc-2.27.so
00007f2f4735c000     16K r---- libc-2.27.so
00007f2f47360000      8K rw--- libc-2.27.so
00007f2f47362000     16K rw---   [ anon ]
00007f2f47366000     12K r-x-- libdl-2.27.so
00007f2f47369000   2044K ----- libdl-2.27.so
00007f2f47568000      4K r---- libdl-2.27.so
00007f2f47569000      4K rw--- libdl-2.27.so
00007f2f4756a000    160K r-x-- libtinfo.so.6.1
00007f2f47592000   2048K ----- libtinfo.so.6.1
00007f2f47792000     16K r---- libtinfo.so.6.1
00007f2f47796000      4K rw--- libtinfo.so.6.1
00007f2f47797000    232K r-x-- libncursesw.so.6.1
00007f2f477d1000   2048K ----- libncursesw.so.6.1
00007f2f479d1000      4K r---- libncursesw.so.6.1
00007f2f479d2000      4K rw--- libncursesw.so.6.1
00007f2f479d3000    148K r-x-- ld-2.27.so
00007f2f47bdb000     20K rw---   [ anon ]
00007f2f47bf1000     28K r--s- gconv-modules.cache
00007f2f47bf8000      4K r---- ld-2.27.so
00007f2f47bf9000      4K rw--- ld-2.27.so
00007f2f47bfa000      4K rw---   [ anon ]
00007ffd39404000    136K rw---   [ stack ]
00007ffd3959b000     12K r----   [ anon ]
00007ffd3959e000      8K r-x--   [ anon ]
ffffffffff600000      4K r-x--   [ anon ]
 total           215692K

$ pmap 72770 -p
72770:   watch date
00005613a32c9000     20K r-x-- /usr/bin/watch
00005613a34cd000      4K r---- /usr/bin/watch
00005613a34ce000      4K rw--- /usr/bin/watch
00005613a4f6a000    264K rw---   [ anon ]
00007f2f3a7d5000 204616K r---- /usr/lib/locale/locale-archive
00007f2f46fa7000   1748K r-x-- /usr/lib64/libc-2.27.so
00007f2f4715c000   2048K ----- /usr/lib64/libc-2.27.so
00007f2f4735c000     16K r---- /usr/lib64/libc-2.27.so
00007f2f47360000      8K rw--- /usr/lib64/libc-2.27.so
00007f2f47362000     16K rw---   [ anon ]
00007f2f47366000     12K r-x-- /usr/lib64/libdl-2.27.so
00007f2f47369000   2044K ----- /usr/lib64/libdl-2.27.so
00007f2f47568000      4K r---- /usr/lib64/libdl-2.27.so
00007f2f47569000      4K rw--- /usr/lib64/libdl-2.27.so
00007f2f4756a000    160K r-x-- /usr/lib64/libtinfo.so.6.1
00007f2f47592000   2048K ----- /usr/lib64/libtinfo.so.6.1
00007f2f47792000     16K r---- /usr/lib64/libtinfo.so.6.1
00007f2f47796000      4K rw--- /usr/lib64/libtinfo.so.6.1
00007f2f47797000    232K r-x-- /usr/lib64/libncursesw.so.6.1
00007f2f477d1000   2048K ----- /usr/lib64/libncursesw.so.6.1
00007f2f479d1000      4K r---- /usr/lib64/libncursesw.so.6.1
00007f2f479d2000      4K rw--- /usr/lib64/libncursesw.so.6.1
00007f2f479d3000    148K r-x-- /usr/lib64/ld-2.27.so
00007f2f47bdb000     20K rw---   [ anon ]
00007f2f47bf1000     28K r--s- /usr/lib64/gconv/gconv-modules.cache
00007f2f47bf8000      4K r---- /usr/lib64/ld-2.27.so
00007f2f47bf9000      4K rw--- /usr/lib64/ld-2.27.so
00007f2f47bfa000      4K rw---   [ anon ]
00007ffd39404000    136K rw---   [ stack ]
00007ffd3959b000     12K r----   [ anon ]
00007ffd3959e000      8K r-x--   [ anon ]
ffffffffff600000      4K r-x--   [ anon ]
 total           215692K

— 欧阳里
source