iOS越狱(5)Mach-O

逆向App的基本步骤

界面分析
Cycript、Reveal
代码分析
对Mach-O文件的静态分析
MachOView、class-dump、Hopper Disassembler、ida等
动态调试
对运行中的APP进行代码调试
debugserver、LLDB
4.代码编写
注入代码到APP中
必要时还可能需要重新签名、打包ip

前面我们已经学习了第一步骤的内容，这篇文章我们学习第二步的内容。第三、四步在后面的文章中介绍。

class-dump

class-dump的作用是把Mach-O文件的class信息给dump出来（把类信息给导出来），生成对应的.h头文件。下载完工具包后将class-dump文件复制到Mac的/usr/local/bin目录，这样在终端就能识别class-dump命令了。
命令格式为:
class-dump -H Mach-O文件路径 -o 头文件存放目录
-H表示要生成头文件
-o用于制定头文件的存放目录

Hopper Disassmbler

Hopper Disassmbler能够将Mach-O文件的机器语言代码反编译成汇编代码、OC伪代码或者Swift伪代码。
正常情况下，OC代码编译后生成汇编代码，汇编代码编译后再生成机器码，而汇编代码和机器码是一一对应的，所以可以通过机器码反编译成汇编代码，但是OC代码和汇编代码不是一一对应的，所以只能生成OC的伪代码。
Hopper Disassmbler直接在网上下载安装就可以了。安装好了之后，打开Hopper Disassmble，将App的Mach-O可执行文件拖进去就自动分析并生成伪代码。

怎么找到App的Mach-O可执行文件呢？

将App的安装问价ipa的扩展名改成zip，然后解压缩，找到Payload里面的文件，右击显示包内容，在里面找到和ipa文件名相同的可执行文件，就是Mach-O可执行文件。
我们通常也想反汇编一下系统库文件，那么系统库的Mach-O可执行文件又在哪里呢？

系统动态库缓存

从iOS3.1开始，为了提高性能，绝大部分的系统动态库文件都打包存放到了一个缓存文件中（dyld shared cache）。缓存文件路径：/System/Library/Caches/com.apple.dyld/dyld_shared_cache_armX。dyld_shared_cache_armX的X代表ARM处理器指令集架构。

v6
iPhone、iPhone3G、iPod Touch、iPod Touch2
v7
iPhone3GS、iPhone4、iPhone4S、iPad、iPad2、iPad3(The New iPad)
iPad mini、iPod Touch3G、iPod Touch4、iPod Touch5
v7s
iPhone5、iPhone5C、iPad4
arm64
iPhone5S、iPhone6、iPhone6 Plus、iPhone6S、iPhone6S Plus
iPhoneSE、iPhone7、iPhone7 Plus、iPhone8、iPhone8 Plus、iPhoneX
iPad5、iPad Air、iPad Air2、iPad Pro、iPad Pro2
iPad mini with Retina display、iPad mini3、iPad mini4、iPod Touch6
iPhone XR、iPhone XS

注意:

所有指令集原则上都是向下兼容的
动态库共享缓存一个非常明显的好处是节省内存
现在的ida、Hopper反编译工具都可以识别动态库共享缓存
在Mac\iOS中，是使用了/usr/lib/dyld程序来加载动态库，dyld源码地址。dyld全称为dynamic link editor，动态链接编辑器。

由于系统动态库缓存文件比较大，我们通常只需要分析其中的某个系统库(例如UIKit库)，我们可以将这个系统动态库缓存文件拆分成一个个的系统库Mach-O文件。具体做法如下:

可找到dyld源码中的launch-cache/dsc_extractor.cpp
将#if 0前面的代码删除（包括#if 0），把最后一行的#endif也删掉
编译dsc_extractor.cpp
clang++ -o dsc_extractor dsc_extractor.cpp
使用dsc_extractor
./dsc_extractor 动态库共享缓存文件的路径用于存放抽取结果的文件夹

什么是Mach-O

Mach-O是Mach object的缩写，是Mac\iOS上用于存储程序、库的标准格式
属于Mach-O格式的文件类型有如下类型，可以在xnu源码
中，查看到Mach-O格式的详细定义。具体是在EXTERNAL_HEADERS/mach-o/loader.h文件中。

#define MH_OBJECT   0x1     /* relocatable object file */
#define MH_EXECUTE  0x2     /* demand paged executable file */
#define MH_FVMLIB   0x3     /* fixed VM shared library file */
#define MH_CORE     0x4     /* core file */
#define MH_PRELOAD  0x5     /* preloaded executable file */
#define MH_DYLIB    0x6     /* dynamically bound shared library */
#define MH_DYLINKER 0x7     /* dynamic link editor */
#define MH_BUNDLE   0x8     /* dynamically bound bundle file */
#define MH_DYLIB_STUB   0x9     /* shared library stub for static */
                    /*  linking only, no section contents */
#define MH_DSYM     0xa     /* companion file with only debug */
                    /*  sections */
#define MH_KEXT_BUNDLE  0xb     /* x86_64 kexts */

常见的Mach-O文件

MH_OBJECT
目标文件（.o）
静态库文件(.a），静态库其实就是N个.o合并在一起
MH_EXECUTE：可执行文件
.app/News
MH_DYLIB：动态库文件
.dylib
.framework/xx
MH_DYLINKER：动态链接编辑器
/usr/lib/dyld
MH_DSYM：存储着二进制文件符号信息的文件
.dSYM/Contents/Resources/DWARF/xx（常用于分析APP的崩溃信息）

我们可以在Xcode中查看target的Mach-O文件类型。
Build Settings->Linking->Mach-O Type

Mach-O文件的结构

Mach-O基本结构.png

Mach-O文件的结构如上图，可以参考官方描述。一个Mach-O文件包含3个主要区域。

Header
文件类型、目标架构类型等
Load commands
描述文件在虚拟内存中的逻辑结构、布局
Raw segment data
在Load commands中定义的Segment的原始数据

我们可以使用工具查看Mach-O文件的结构。

命令行工具file
file：查看Mach-O的文件类型
file 文件路径
命令行工具otool
查看Mach-O特定部分和段的内容
命令行工具lipo
常用于多架构Mach-O文件的处理

查看架构信息：lipo -info 文件路径
导出某种特定架构：lipo 文件路径 -thin 架构类型 -output 输出文件路径
合并多种架构：lipo 文件路径1 文件路径2 -output 输出文件路径

GUI工具
MachOView

Universal Binary（通用二进制文件）

同时适用于多种架构的二进制文件
包含了多种不同架构的独立的二进制文件
因为需要储存多种架构的代码，通用二进制文件通常比单一平台二进制的程序要大
由于两种架构有共同的一些资源，所以并不会达到单一版本的两倍之多
由于执行过程中，只调用一部分代码，运行起来也不需要额外的内存
因为文件比原来的要大，也被称为“胖二进制文件”（Fat Binary）

dyld和Mach-O

dyld用于加载以下类型的Mach-O文件

MH_EXECUTE
MH_DYLIB
MH_BUNDLE
APP的可执行文件、动态库都是由dyld负责加载的