四 iOS逆向- Mach-O

• Mach-O文件类型
• Mach-O文件基本结构
• 通用二进制文件

Mach-O是Mach object的缩写，是Mac\iOS上用于存储程序、库的标准格式

一 Mach-O文件类型

#define MH_OBJECT   0x1     /* 目标文件*/
#define MH_EXECUTE  0x2     /* 可执行文件 */
#define MH_FVMLIB   0x3     /* fixed VM shared library file */
#define MH_CORE     0x4     /*核心转储文件 */
#define MH_PRELOAD  0x5     /* preloaded executable file */
#define MH_DYLIB    0x6     /* dynamically bound shared library */
#define MH_DYLINKER 0x7     /* dynamic link editor */
#define MH_BUNDLE   0x8     /* dynamically bound bundle file */
#define MH_DYLIB_STUB   0x9     /* shared library stub for static */
                    /*  linking only, no section contents */
#define MH_DSYM     0xa     /* companion file with only debug */
                    /*  sections */
#define MH_KEXT_BUNDLE  0xb     /* x86_64 kexts */

可以在xnu源码中，查看到Mach-O格式的详细定义（https://opensource.apple.com/tarballs/xnu/）

• EXTERNAL_HEADERS/mach-o/fat.h

• EXTERNAL_HEADERS/mach-o/loader.h

  
  
  

  Mach-O格式定义文件所在位置

Mach-O文件的格式还是挺多的，我们简单的了解一下常用的一些类型。

1 MH_OBJECT

• 目标文件（.o）
• 静态库文件(.a），静态库其实就是N个.o合并在一起
  我们常用的目标文件，静态库都是Mach-O格式的

2 MH_EXECUTE：可执行文件

• .app/xx
  app里面的可执行文件也是Mach-O格式的

3 MH_DYLIB：动态库文件

• .dylib
• .framework/xx
  动态库文件也是Mach-O格式的

4 MH_DYLINKER：动态链接编辑器

• /usr/lib/dyld
  动态链接器也是Mach-O格式的

5 MH_DSYM：存储着二进制文件符号信息的文件

• .dSYM/Contents/Resources/DWARF/xx（常用于分析APP的崩溃信息）
  我们常用与分析app奔溃信息的符号表文件也是Mach-O格式的。

2 如何查看Mach-O格式的文件

1 使用MachOView工具
下载地址:https://github.com/gdbinit/MachOView

2 otool：查看Mach-O特定部分和段的内容

xmldeMacBook-Pro:iOS学习 xml$ otool
Usage: /Applications/Xcode.app/Contents/Developer/Toolchains/XcodeDefault.xctoolchain/usr/bin/otool [-arch arch_type] [-fahlLDtdorSTMRIHGvVcXmqQjCP] [-mcpu=arg] [--version]