描述
   拦截Linux动态库API的常规方法，是基于动态符号链接覆盖技术实现的，基本步骤是
    1. 重命名要拦截的目标动态库。
    2. 创建新的同名动态库，定义要拦截的同名API，在API内部调用原动态库对应的API。这里的同名是指与重命名前动态库前的名称相同。
   显而易见，如果要拦截多个不同动态库中的API，那么必须创建多个对应的同名动态库，这样一来不仅繁琐低效，还必须被优先链接到客户二进制程序中（根据动态库链接原理，对重复ABI符号的处理是选择优先链接的那个动态库）。 另外在钩子函数的实现中，若某调用链调用到了原API，则会引起死循环而崩溃。本方法通过直接修改ELF文件中的动态库API入口表项，解决了常规方法的上述问题。

特点
   1. 不依赖于动态库链接顺序。
   2. 能拦截多个不同动态库中的多个API。
   3. 支持运行时动态链接的拦截。
   4. 钩子函数内的实现体，若调用到原API，则不会死循环。

---

实现
   拦截映射表
      为了支持特点2和3，建立了一个拦截映射表，这个映射表有2级。第1级为ELF文件到它的API钩子映射表，键为ELF文件句柄，值为API钩子映射表；第2级为API到它的钩子函数映射表，键为API名称，值为包含最老原函数地址和最新钩子函数地址的结构体，如下图
      当最先打开ELF文件成功时，会在第1级映射表中插入记录；反之当最后关闭同一ELF文件时，就会从中移除对应的记录。当第一次挂钩动态库API时，就会在第2级映射表插入记录；反之卸钩同一API时，就会从中删除对应的记录。

   计算ELF文件的映像基地址
      计算映像基地址是为了得到ELF中动态符号表和重定位链接过程表的内容，因为这些表的位置都是相对于基地址的偏移量，该算法在打开ELF文件时执行，如下图
      EXE文件为可执行文件，DYN文件为动态库。对于可执行文件，映射基地址为可执行装载段的虚拟地址；对于动态库，可通过任一API的地址减去它的偏移量得到，任一API的地址可通过调用libdl.so库API dlsym得到，偏移量通过查询动态链接符号表得到。

   打开ELF文件
      为了支持特点2即拦截不同动态库的多个API，节省每次挂钩API前要打开并读文件的开销，独立提供了打开ELF文件的接口操作，流程如下图
      若输入ELF文件名为空，则表示打开当前进程的可执行文件，此时要从伪文件系统/proc/self/exe读取文件路径名，以正确调用系统调用open。当同一ELF文件被多次打开时，只须递增结构elf的引用计数。

   挂钩API
      当打开ELF文件后，就可挂钩API了，流程如下图
      当第一次挂钩时，需要保存原函数以供后面卸钩；第二次以后继续挂钩同一API时，更新钩子函数，但原函数不变。   
   
   卸钩API
      当打开ELF文件后，就可卸钩API了，流程如下图

   关闭ELF文件
      因为提供了打开ELF文件的接口操作，所以得配有关闭ELF文件的接口操作。当不需要挂钩API的时候，就可以关闭ELF文件了，流程如下图

---

运行时动态拦截装置
   在初始化模块中打开当前可执行文件，挂钩libdl.so库的API dlopen和dlsym；在转换模块中，按动态库句柄和API名称在拦截映射表中查找钩子函数，若找到则返回钩子函数，否则返回调用dlsym的结果；在销毁模块中，卸钩dlopen和dlsym。
当动态库被进程加载的时候，会调用初始化模块；当被进程卸载或进程退出的时候，会调用销毁模块；当通过dlsym调用API时，则会在dlsym的钩子函数中调用转换模块。通过环境变量LD_PRELOAD将动态库libhookapi.so设为预加载库，这样就能拦截到所有进程对dlopen及dlsym的调用，进而拦截到已挂钩动态库API的调用。