HOOK原理

一、HOOK概述

HOOK(钩子)其实就是改变程序执行流程的一种技术的统称!

微信抢红包HOOK原理

二、iOS中HOOK技术的集中方式

1、Method Swizzle

利用OC的Runtime特性, 动态改变SEL 和 IMP 的对应关系, 达到OC方法调用流程改变的目的. 主要用于OC方法.

2、fishhook

它是Facebook提供的一个动态修改连接Mach-O文件的工具. 利用Mach-O文件加载原理, 通过修改Mach-O文件的懒加载和非懒加载符号表的指针达到HOOK C函数的目的.

原理:

为了节省资源, 所有系统函数库都独立于 APP 加载(PIC, 位置无关代码), 其位置不固定.

iPhone 使用了 ASLR（Address space layout randomization）技术, 所以Mach-O在内存中的位置不确定, 但是每次启动dyld是知道的.

如果Mach-O内部要调用系统库函数时:

在DATA段建立一个指针, 指向外部函数.

DYLD 会动态进行绑定, 将Mach-O中的DATA段中的指针, 指向外部函数
fishhook在上述动态绑定过程中, 更换懒加载符号表中系统函数的指针为我们自定义函数的指针, 同时让我们准备好的二级指针指向;这个系统函数的指针.

位置无关代码参考

fishhook.h的代码

/*
 * A structure representing a particular intended rebinding from a symbol
 * name to its replacement
 */
struct rebinding {
  const char *name;
  void *replacement;
  void **replaced;
};

/*
 * For each rebinding in rebindings, rebinds references to external, indirect
 * symbols with the specified name to instead point at replacement for each
 * image in the calling process as well as for all future images that are loaded
 * by the process. If rebind_functions is called more than once, the symbols to
 * rebind are added to the existing list of rebindings, and if a given symbol
 * is rebound more than once, the later rebinding will take precedence.
 */
FISHHOOK_VISIBILITY
int rebind_symbols(struct rebinding rebindings[], size_t rebindings_nel);

/*
 * Rebinds as above, but only in the specified image. The header should point
 * to the mach-o header, the slide should be the slide offset. Others as above.
 */
FISHHOOK_VISIBILITY
int rebind_symbols_image(void *header,
                         intptr_t slide,
                         struct rebinding rebindings[],
                         size_t rebindings_nel);

我们看到 replaced 是 void **类型的, 那是因为大部分系统函数都在懒加载符号表(Lazy Symbol Pointers)中, 不调用这些函数, 就得不到其地址, 所以需要传递一个二级指针, 方便函数内部修改一级指针(函数指针)的值用来接收原系统函数的地址.

fishhook 使用

- (void)viewDidLoad {
    [super viewDidLoad];
    //定义rebinding结构体
    struct rebinding nslogBind;
    //函数的名称
    nslogBind.name = "NSLog";
    //新的函数地址
    nslogBind.replacement = myNSLog;
    //保存原始函数地址的变量的指针
    nslogBind.replaced = (void *)&old_nslog;
    
    //定义数组
    struct rebinding rebs[] = {nslogBind};
    /*
     arg1 : 存放rebinding结构体的数组
     arg2 : 数组的长度
     */
    rebind_symbols(rebs, 1);
}

//函数指针,用保存原始的函数的地址
static void (*old_nslog)(NSString *format, ...);

//新的NSLog
void myNSLog(NSString *format, ...){
    format = [format stringByAppendingString:@"\n勾上了!"];
    //再调用原来的
    old_nslog(format);
}

注意: 由于fishhook使用了系统函数的动态绑定特性, 所以只对系统函数有效.

3、Cydia Substrate

Cydia Substrate 原名为 Mobile Substrate ，它的主要作用是针对OC方法、C函数以及函数地址进行HOOK操作。当然它并不是仅仅针对iOS而设计的，安卓一样可以用。官方地址：http://www.cydiasubstrate.com/

Cydia Substrate主要由3部分组成：

MobileHooker
MobileHooker顾名思义用于HOOK。它定义一系列的宏和函数，底层调用objc的runtime和fishhook来替换系统或者目标应用的函数. 其中有两个函数:

MSHookMessageEx 主要作用于Objective-C方法

 void MSHookMessageEx(Class class, SEL selector, IMP replacement, IMP result)

MSHookFunction 主要作用于C和C++函数

void MSHookFunction(voidfunction,void* replacement,void** p_original)

MobileLoader
MobileLoader用于加载第三方dylib在运行的应用程序中。启动时MobileLoader会根据规则把指定目录的第三方的动态库加载进去，第三方的动态库也就是我们写的破解程序.
safe mode
因为APP程序质量参差不齐崩溃再所难免，破解程序本质是dylib，寄生在别人进程里。系统进程一旦出错，可能导致整个进程崩溃,崩溃后就会造成iOS瘫痪。所以CydiaSubstrate引入了安全模式,在安全模式下所有基于CydiaSubstratede 的三方dylib都会被禁用，便于查错与修复。