iOS逆向开发(二)----Cycript,class-dump,Mach-O

iOS逆向开发(二)----Cycript,class-dump,Mach-O

Cycript

在逆向开发中经常要调试运行中的app,此时我们要借助Cycript. Cycript是Objective-C++、ES6（JavaScript）、Java等语法的混合物.

开启:cycript -p 进程ID或者cycript -p 进程名称

取消输入：Ctrl + C

退出：Ctrl + D

清屏：Command + R

列出所有的进程: ps –A 或者 ps aux

Snip20181101_22.png

Snip20181101_23.png

Snip20181101_24.png

UIApp: [UIApplication sharedApplication]

变量: var 变量名 = 变量值

内存获取对象: #内存地址

ObjectiveC.classes:已加载的所有OC类

查看对象的所有成员变量:*对象

递归打印view的所有子控件（跟LLDB一样的函数）: view.recursiveDescription().toString()

筛选出某种类型的对象: choose(UIViewController)

class-dump

除了对app进行界面分析,还要进行代码分析,这里要用到class-dump.

class-dump -H Mach-O文件路径 -o 头文件存放目录

-H表示要生成头文件

-o用于制定头文件的存放目录

生成的微博头文件如下:

Snip20181101_25.png

Hopper Disassmbler

Hopper Disassmbler能够将Mach-O文件的机器语言代码反编译成汇编代码、OC伪代码或者Swift伪代码

下图为微博程序启动加载伪代码:


动态库共享缓存（dyld shared cache）

为了提高性能，绝大部分的系统动态库文件都打包存放到了一个缓存文件中（dyld shared cache）,缓存文件路径：/System/Library/Caches/com.apple.dyld/dyld_shared_cache_armX

Mach-O

Mach-O是Mach object的缩写，是Mac\iOS上用于存储程序、库的标准格式,可以在xnu源码中，查看到Mach-O格式的详细定义:

Snip20181101_28.png

常见的Mach-O文件类型:
MH_OBJECT:目标文件（.o）,静态库文件(.a），静态库其实就是N个.o合并在一起.

MH_EXECUTE：可执行文件, .app/xx

MH_DYLIB:动态库文件, .dylib, .framework/xx

MH_DYLINKER：动态链接编辑器,usr/lib/dyld

MH_DSYM：存储着二进制文件符号信息的文件, .dSYM/Contents/Resources/DWARF/xx（常用于分析APP的崩溃信息）

在Xcode中查看target的Mach-O类型


一个Mach-O文件包含3个主要区域:

1. Header,文件类型、目标架构类型等.
2. Load commands,描述文件在虚拟内存中的逻辑结构、布局
3. Raw segment data,在Load commands中定义的Segment的原始数据

查看Mach-O的文件类型: file 文件路径

查看Mach-O特定部分和段的内容: otool 文件路径 参数

多架构Mach-O文件的处理:lipo
1.查看架构信息：lipo -info 文件路径

2.导出某种特定架构：lipo 文件路径 -thin 架构类型 -output 输出文件路径

3.合并多种架构：lipo 文件路径1 文件路径2 -output 输出文件路径

或者通过GUI MachOView查看:

Snip20181101_32.png

dyld用于加载以下类型的Mach-O文件: MH_EXECUTE, MH_DYLIB, MH_BUNDLE. APP的可执行文件、动态库都是由dyld负责加载的