Red Hat Summit 红帽全球峰会支持控制台（Console）开发人员开始试用联系人

4.4. Annobin 项目

Annobin 项目是 Watermark 规格项目的实现。水位线规格项目旨在向可执行文件和可链接格式(ELF)对象添加标记，以确定其属性。Annobin 项目由 annobin 插件和 annockeck 程序组成。

anobin 插件扫描 GNU Compiler Collection(GCC)命令行、编译状态和编译过程，并生成 ELF 备注。ELF 备注记录了二进制文件的构建方式，并为 annocheck 程序提供信息来执行安全强化检查。

安全强化检查程序是 annocheck 程序的一部分，默认是启用的。它检查二进制文件，以确定程序是否是使用必要的安全强化选项构建的，并正确编译了。annocheck 能够递归扫描 ELF 对象文件的目录、存档和 RPM 软件包。

注意

这些文件必须采用 ELF 格式。annocheck 不处理任何其他二进制文件类型。

下面的部分描述了如何：

  • 使用 annobin 插件
  • 使用 annocheck 程序
  • 删除冗余 annobin 备注

4.4.1. 使用 annobin 插件
复制链接

下面的部分描述了如何：

  • 启用 annobin 插件
  • 将选项传递给 annobin 插件

4.4.1.1. 启用 annobin 插件
复制链接

下面的部分论述了如何通过 gcc 和 clang 启用 annobin 插件。

流程

  • 要启用带有 annobin 插件的 gcc，请使用： 

    $ gcc -fplugin=annobin
    Copy to Clipboard Toggle word wrap

    • 如果 gcc 找不到 annobin 插件，请使用： 

      $ gcc -iplugindir=/path/to/directory/containing/annobin/
      Copy to Clipboard Toggle word wrap

      将 /path/to/directory/containing/annobin/ 替换为包含 annobin 的目录的绝对路径。

    • 要查找包含 annobin 插件的目录，请使用： 

      $ gcc --print-file-name=plugin
      Copy to Clipboard Toggle word wrap

  • 要启用带有 clang 的 gcc，请使用： 

    $ clang -fplugin=/path/to/directory/containing/annobin/
    Copy to Clipboard Toggle word wrap

    将 /path/to/directory/containing/annobin/ 替换为包含 annobin 的目录的绝对路径。

4.4.1.2. 将选项传递给 annobin 插件
复制链接

下面的部分论述了如何通过 gcc 和 clang 将选项传递给 annobin 插件。

流程

  • 要将选项传递给带有 gcc 的 annobin 插件，请使用： 

    $ gcc -fplugin=annobin -fplugin-arg-annobin-option file-name
    Copy to Clipboard Toggle word wrap

    使用 annobin 命令行参数替换 option，并使用文件名替换 file-name。

    • 例如，要显示 annobin 正在进行的操作的更多详情，请使用： 

      $ gcc -fplugin=annobin -fplugin-arg-annobin-verbose file-name
      Copy to Clipboard Toggle word wrap

      用文件名替换 file-name。

  • 要将选项传递给带有 clang 的 annobin 插件，请使用： 

    $ clang -fplugin=/path/to/directory/containing/annobin/ -Xclang -plugin-arg-annobin -Xclang option file-name
    Copy to Clipboard Toggle word wrap

    使用 annobin 命令行参数替换 option，并将 /path/to/directory/containing/annobin/ 替换为包含 annobin 的目录的绝对路径。

    • 例如，要显示 annobin 正在进行的操作的更多详情，请使用： 

      $ clang -fplugin=/usr/lib64/clang/10/lib/annobin.so -Xclang -plugin-arg-annobin -Xclang verbose file-name
      Copy to Clipboard Toggle word wrap

      用文件名替换 file-name。

4.4.2. 使用 annocheck 程序
复制链接

下面的部分论述了如何使用 annocheck ：

  • 文件
  • 目录
  • RPM 软件包
  • annocheck 额外工具
注意

annocheck 递归扫描 ELF 对象文件的目录、存档和 RPM 软件包。这些文件必须采用 ELF 格式。annocheck 不处理任何其他二进制文件类型。

4.4.2.1. 使用 annocheck 检查文件
复制链接

下面的部分论述了如何使用 annocheck 检查 ELF 文件。

流程

  • 要检查文件，请使用： 

    $ annocheck file-name
    Copy to Clipboard Toggle word wrap

    使用文件名替换 file-name。

    注意

    这些文件必须采用 ELF 格式。annocheck 不处理任何其他二进制文件类型。annocheck 处理包含 ELF 对象文件的静态库。

4.4.2.2. 使用 annocheck 检查目录
复制链接

下面的部分论述了如何使用 annocheck 检查目录中的 ELF 文件。

流程

  • 要扫描目录，请使用： 

    $ annocheck directory-name
    Copy to Clipboard Toggle word wrap

    使用目录名称替换 directory-name。annocheck 自动检查目录、其子目录的内容，以及目录中的任何存档和 RPM 软件包。

    注意

    annocheck 仅查找 ELF 文件。其他文件类型将被忽略。

4.4.2.3. 使用 annocheck 检查 RPM 软件包
复制链接

下面的部分论述了如何使用 annocheck 检查 RPM 软件包中的 ELF 文件。

流程

  • 要扫描 RPM 软件包，请使用： 

    $ annocheck rpm-package-name
    Copy to Clipboard Toggle word wrap

    使用 RPM 软件包的名称替换 rpm-package-name。annocheck 递归扫描 RPM 软件包中的所有 ELF 文件。

    注意

    annocheck 仅查找 ELF 文件。其他文件类型将被忽略。

  • 要使用提供 debug info RPM 扫描 RPM 软件包，请使用： 

    $ annocheck rpm-package-name --debug-rpm debuginfo-rpm
    Copy to Clipboard Toggle word wrap

    使用 RPM 软件包的名称替换 rpm-package-name，使用与二进制 RPM 关联的调试信息 RPM 的名称替换 debuginfo-rpm。

4.4.2.4. 使用 annocheck 额外的工具
复制链接

annocheck 包括多个检查二进制文件的工具。您可以使用命令行选项启用这些工具。

下面的部分描述了如何启用：

  • built-by 工具
  • notes 工具
  • section-size 工具

您可以同时启用多个工具。

注意

强化检查程序被默认启用。

4.4.2.4.1. 启用 built-by 工具
复制链接

您可以使用 annocheck built-by 工具来查找用于构建二进制文件的编译器的名称。

流程

  • 要启用 built-by 工具，请使用： 

    $ annocheck --enable-built-by
    Copy to Clipboard Toggle word wrap

    有关 built-by 工具的更多信息，请参阅 --help 命令行选项。

4.4.2.4.2. 启用 notes 工具
复制链接

您可以使用 annocheck notes 工具显示存储在 annobin 插件创建的二进制文件中的注释。

流程

  • 要启用 notes 工具，请使用： 

    $ annocheck --enable-notes
    Copy to Clipboard Toggle word wrap

    备注按地址范围排序的顺序显示。有关 notes 工具的详情，请查看 --help 命令行选项。

4.4.2.4.3. 启用 section-size 工具
复制链接

您可以使用 annocheck section-size 工具显示指定部分的大小。

流程

  • 要启用 section-size 工具，请使用： 

    $ annocheck --section-size=name
    Copy to Clipboard Toggle word wrap

    使用指定部分的名称替换 name。输出仅限于特定的部分。结束时会生成累积结果。有关 section-size 工具的更多信息，请参阅 --help 命令行选项。

4.4.2.4.4. 强化检查程序基础知识
复制链接

强化检查程序被默认启用。您可以使用 --disable-hardened 命令行选项禁用强化检查程序。

4.4.2.4.4.1. 强化检查程序选项
复制链接

annocheck 程序检查以下选项：

  • 使用 -z now linker 选项禁用 lazy 绑定。
  • 该程序没有堆栈在内存中的可执行区域。
  • GOT 表的重新定位被设置为只读。
  • 没有程序片段设置所有三个读取、写入和执行权限。
  • 没有针对可执行代码重新定位。
  • 在运行时查找共享库的 runpath 信息仅包含在 /usr 中根目录。
  • 程序在启用了 annobin 注释的情况下被编译。
  • 程序在启用了 -fstack-protector-strong 选项的情况下被编译。
  • 程序使用 -D_FORTIFY_SOURCE=2 编译。
  • 程序使用 -D_GLIBCXX_ASSERTIONS 编译。
  • 程序被编译时启用了 -fexceptions。
  • 程序在启用了 -fstack-clash-protection 的情况下被编译。
  • 程序于 -O2 或更高版本编译。
  • 程序没有处于写入状态的重新定位状态。
  • 动态可执行文件具有动态片段。
  • 共享库使用 -fPIC 或 -fPIE 编译。
  • 动态可执行文件使用 -fPIE 编译并通过 -pie 链接。
  • 如果可用，则使用 -fcf-protection=full 选项。
  • 如果可用，则使用 -mbranch-protection 选项。
  • 如果可用，则使用 -mstackrealign 选项。
4.4.2.4.4.2. 禁用强化检查程序
复制链接

下面的部分论述了如何禁用强化检查程序。

流程

  • 要在没有强化检查程序的情况下扫描文件中的备注，请使用： 

    $ annocheck --enable-notes --disable-hardened file-name
    Copy to Clipboard Toggle word wrap

    使用文件名替换 file-name。

4.4.3. 删除冗余 annobin 备注
复制链接

使用 annobin 会增加二进制文件的大小。要减少使用 annobin 编译的二进制文件的大小，您可以删除冗余的 annobin 备注。要删除冗余的 annobin 注释，请使用 objcopy 程序，这是 binutils 软件包的一部分。

流程

  • 要删除冗余的 annobin 备注，请使用： 

    $ objcopy --merge-notes file-name
    Copy to Clipboard Toggle word wrap

    用文件名替换 file-name。

返回顶部
Red Hat logoGithubredditYoutubeTwitter

学习

尝试、购买和销售

社区

关于红帽文档

通过我们的产品和服务，以及可以信赖的内容，帮助红帽用户创新并实现他们的目标。 了解我们当前的更新.

让开源更具包容性

红帽致力于替换我们的代码、文档和 Web 属性中存在问题的语言。欲了解更多详情，请参阅红帽博客.

關於紅帽

我们提供强化的解决方案，使企业能够更轻松地跨平台和环境（从核心数据中心到网络边缘）工作。

Theme

© 2025 Red Hat