relro: fedora vs ubuntu

Как посмотреть, включен ли он в твоём дистрибутиве?

я через gdb посмотрел, как вызываются функции через plt. В федоре идёт ленивое связывание, адрес функции актуализируется в момент первого использования. В убунте адрес функции известен сразу в момент загрузки.

Не знаю что такое relro, но судя по security matrix для пакетов собранных в Fedora оно включено.

А вот по поводу изменения дефолтных параметров самого gcc поставляемого в Fedora относительно недавно была жаркая дискуссия в рассылке. И вывод такой: fedora следует принципу upstream first, и параметры компилятора по умолчанию следуют апстримным соглашениям.

А вот по поводу изменения дефолтных параметров самого gcc

Да, я именно про это. Про собранное мной.
Спасибо за объяснение. А ссылочкой не поделитесь?

В Manjaro - Full RELRO

Сколько ресурсов компа отнимает этот ваш relro?

Где-то тут https://lists.fedoraproject.org/archives/list/devel@lists.fedoraproject.org/m...

Само предложенное и непринятое изменение https://fedoraproject.org/wiki/Changes/HardenedCompiler

Почему так?

В федоре идёт ленивое связывание, адрес функции актуализируется в момент первого использования. В убунте адрес функции известен сразу в момент загрузки.

При втором варианте запуск приложений медленнее. Даже app --version будет загружать все библиотеки и разрешать их символы.

Так и думал.

ясно, спасибо. вопрос отвечен!

https://www.opennet.ru/opennews/art.shtml?num=27938
Старенькая статья правда.
Глянуть как оно можно на простейшем хелоуворде

gcc -g -o test1 test.c
checksec --file=test1 --output=cli --format=cli

И сравнить с

gcc -g -Wl,-z,relro,-z,now -o test2 test.c
checksec --file=test2 --output=cli --format=cli

В Manjaro - Full RELRO

А если:

$ checksec --file=/usr/lib/Xorg

?

а в федоре выключен?

Странно, Fedora 30 x86_64:

$ checksec --file /usr/bin/ls
RELRO           STACK CANARY      NX            PIE             RPATH      RUNPATH      Symbols         FORTIFY Fortified       Fortifiable  FILE
Full RELRO      Canary found      NX enabled    PIE enabled     No RPATH   No RUNPATH   No Symbols      Yes     5               17      /usr/bin/ls

Это в системе. Скомпилируй что-нибудь стоковым gcc.

С дефолтными параметрами пишет PARTIAL:

$ checksec --file ./hello
RELRO           STACK CANARY      NX            PIE             RPATH      RUNPATH      Symbols         FORTIFY Fortified       Fortifiable  FILE
Partial RELRO   No canary found   NX enabled    No PIE          No RPATH   No RUNPATH   90 Symbols     No       0               0       ./hello

При этом можно и без скомпилировать:

$ gcc -g -O0 -Wl,-z,norelro -o hello2 ./hello.c
$ checksec --file ./hello2
RELRO           STACK CANARY      NX            PIE             RPATH      RUNPATH      Symbols         FORTIFY Fortified       Fortifiable  FILE
No RELRO        No canary found   NX enabled    No PIE          No RPATH   No RUNPATH   90 Symbols     No       0               0       ./hello2

Full relro позволяет загружать so-шки на лету? Передавать указатели на функции? Или приняв такой режим работы программы требуется сознательно отказаться от небезопасной функциональности? По типу как в ядре Linux можно отключать загрузку модулей. Сильно не пинайте, просто я опять что-то не знал об этой вселенной.

checksec

хм, применение sstrip из https://github.com/BR903/ELFkickers делает из:
RELRO: Full RELRO
Stack: Canary found
в:
RELRO: Partial RELRO
Stack: No canary found