iOS逆向-day4：Mach-O

一、APP从开发到安装到手机的过程

• 1.1、生成ipa包的过程

  

  
  

  

  • 选择手机下的可执行文件

• 1.2、真正安装的过程

  • 安装方式一：Xcode 直接跑在手机上
  • 安装方式二：上传到 App Store 下载
  • 安装方式三：使用 通过PP助手、iFunBox、Xcode等工具安装，我采用的是 PP助手，直接把 1.1 里面的ipa直接拖进去就好
    
    

    PP助手

    

二、逆向APP的思路

• 2.1、界面分析，工具如下，在上一篇博客：iOS逆向-day3：Cycript 有介绍
  Cycript、Reveal
• 2.2、代码分析
  对Mach-O文件的静态分析
  MachOView、class-dump、Hopper Disassembler、ida等
• 2.3、动态调试
  对运行中的APP进行代码调试
  debugserver、LLDB
• 2.4、代码编写
  注入代码到APP中
  必要时还可能需要重新签名、打包ipa

三、class-dump

• 3.1、class-dump 介绍

  • 顾名思义，它的作用就是把Mach-O文件的class信息给dump出来（把类信息给导出来），生成对应的.h头文件

    

    class-dump

  • 官方地址：http://stevenygard.com/projects/class-dump/

  • 下载完工具包后将class-dump文件复制到Mac的/usr/local/bin 目录，这样在终端就能识别class-dump命令了

    

    
    

    

• 3.2、常用格式
  class-dump -H Mach-O文件路径 -o 头文件存放目录

  • -H 表示要生成头文件
  • -o 用于制定头文件的存放目录

  • 举例：我们以一里面我们自己的app：qainshou 为例，首先拿到 qainshou.ipa

  

  • 我们可以看到上面最后一步，.h文件都可以拿到
  • 提示：如果大家是从PP助手下载的非越狱的app，在执行上面的操作的时候可能只会拿到一个文件：CDStructures.h 文件，后面会说到 砸壳
    
    

四、代码编译过程 (OC或者Swift语言怎么变成Mach-O文件)

• 4.1、在同一种架构平台下，每一条汇编指令都有与之对应的唯一的机器指令

  

• 4.2、不同的OC代码，编译出来的汇编代码可能是一样的

  

五、Hopper Disassmbler

• 5.1、Hopper Disassmbler介绍
  • Hopper Disassmbler能够将Mach-O文件的机器语言代码反编译成汇编代码、OC伪代码或者Swift伪代码
  • 常用快捷键：Shift + Option + X 找出哪里引用了这个方法
• 5.2、使用方法:

  • 首先找打mach-o文件(上面1.1或者3.2都有介绍找到 Mach-O 文件)

  • 打开软件 Hopper Disassmbler 把mach-o文件拖入软件内

    

    
    

  • 可以的到汇编代码如下图

    

  • 把汇编代码转为伪代码

    

六、动态库共享缓存（dyld shared cache）

• 6.1、从iOS3.1 开始，为了提高性能，绝大部分的系统动态库文件都打包存放到了一个缓存文件中（dyld shared cache）

  • 缓存文件路径：/System/Library/Caches/com.apple.dyld/dyld_shared_cache_armX

• 6.2、dyld_shared_cache_armX的X代表ARM处理器指令集架构

  • v6
    iPhone、iPhone3G
    iPod Touch、iPod Touch2
  • v7
    iPhone3GS、iPhone4、iPhone4S
    iPad、iPad2、iPad3(The New iPad)
    iPad mini
    iPod Touch3G、iPod Touch4、iPod Touch5
  • v7s
    iPhone5、iPhone5C
    iPad4
  • arm64
    iPhone5S、iPhone6、iPhone6 Plus、iPhone6S、iPhone6S Plus
    iPhoneSE、iPhone7、iPhone7 Plus、iPhone8、iPhone8 Plus、iPhoneX
    iPad5、iPad Air、iPad Air2、iPad Pro、iPad Pro2
    iPad mini with Retina display、iPad mini3、iPad mini4
    iPod Touch6

  • 所有指令集原则上都是向下兼容的
  • 动态库共享缓存一个非常明显的好处是节省内存

  • 现在的ida、Hopper反编译工具都可以识别动态库共享缓存

    
    
    

    动态库共享缓存

七、动态库的加载

• 7.1、在 Mac\iOS 中，是使用了 /usr/lib/dyld 程序来加载动态库
  • dyld
    dynamic link editor，动态链接编辑器
    dynamic loader，动态加载器

    提示：dyld源码

• 7.2、从动态库共享缓存抽取动态库
  可以使用dyld源码中的launch-cache/dsc_extractor.cpp

  • 将 #if 0 前面的代码删除（包括#if 0），把最后面的 #endif 也删掉
    

    

  • 编译dsc_extractor.cpp

    clang++ -o dsc_extractor dsc_extractor.cpp
    

  • 使用dsc_extractor

    ./dsc_extractor  动态库共享缓存文件的路径   用于存放抽取结果的文件夹
    

    

八、Mach-O文件

• 8.1、Mach-O 是Mach object 的缩写，是 Mac\iOS 上用于存储程序、库的标准格式

• 8.2、属于Mach-O格式的文件类型有

  

  • 可以在xnu源码中，查看到Mach-O格式的详细定义
    • EXTERNAL_HEADERS/mach-o/fat.h
    • EXTERNAL_HEADERS/mach-o/loader.h

• 8.3、常见的 Mach-O 文件类型

  • MH_OBJECT
    目标文件（.o）
    静态库文件(.a），静态库其实就是N个.o合并在一起
  • MH_EXECUTE：可执行文件
    .app/xx
  • MH_DYLIB：动态库文件
    .dylib
    .framework/xx
  • MH_DYLINKER：动态链接编辑器
    /usr/lib/dyld
  • MH_DSYM：存储着二进制文件符号信息的文件
    .dSYM/Contents/Resources/DWARF/xx（常用于分析APP的崩溃信息）

  • 提示：在Xcode中查看target的Mach-O类型

    
    
    

• 8.4、Mach-O 的基本结构

  • 官方描述
    https://developer.apple.com/library/content/documentation/DeveloperTools/Conceptual/MachOTopics/0-Introduction/introduction.html
  • 一个Mach-O文件包含3个主要区域
    • Header ：文件类型、目标架构类型等
    • Load commands：描述文件在虚拟内存中的逻辑结构、布局
    • Raw segment data：在Load commands中定义的Segment的原始数据

      

• 8.5、窥探Mach-O的结构

  • 命令行工具
    file：查看Mach-O的文件类型

    file  文件路径
    

    

    • 这里以我在桌面的 qainshou 的Mach-O文件为例

    otool：查看Mach-O特定部分和段的内容
    lipo：常用于多架构Mach-O文件的处理

    • 查看架构信息：lipo -info 文件路径
      导出某种特定架构：lipo 文件路径 -thin 架构类型 -output 输出文件路径
      合并多种架构：lipo 文件路径1 文件路径2 -output 输出文件路径

  • GUI工具：MachOView，官网下载完使用是有问题的，建议去我的QQ群：584599353 的逆向文件里面获取

• 8.6、Universal Binary（通用二进制文件）

  • 通用二进制文件
    同时适用于多种架构的二进制文件
    包含了多种不同架构的独立的二进制文件
  • 因为需要储存多种架构的代码，通用二进制文件通常比单一平台二进制的程序要大
  • 由于两种架构有共同的一些资源，所以并不会达到单一版本的两倍之多
  • 由于执行过程中，只调用一部分代码，运行起来也不需要额外的内存
  • 因为文件比原来的要大，也被称为“胖二进制文件”（Fat Binary）

• 8.6、dyld 和 Mach-O

  • dyld用于加载以下类型的Mach-O文件
    MH_EXECUTE
    MH_DYLIB
    MH_BUNDLE
  • APP的可执行文件、动态库都是由dyld负责加载的