hook C函数
先拿一个简单的c函数getenv上手。这个函数接受一个char *类型的参数（得是null terminated string）并返回对应的环境变量。
实际上在你的可执行文件启动时这个函数会被多次调用的。
用Xcode打开Watermark项目。创建一个symbolic breakpoint到getenv，并添加action：
po (char *)$rdi
并勾选Automatically continue after evaluating actions。
构建并运行app在模拟器上，你可以得到类似这样的输出：
"DYLD_INSERT_LIBRARIES"
"NSZombiesEnabled"
"OBJC_DEBUG_POOL_ALLOCATION"
"MallocStackLogging"
"MallocStackLoggingNoCompact"
"OBJC_DEBUG_MISSING_POOLS"
"LIBDISPATCH_DEBUG_QUEUE_INVERSIONS"
"LIBDISPATCH_CONTINUATION_ALLOCATOR"
... etc ...
（注意，更优雅的打印app的所有环境变量的方式是使用DYLD_PRINT_ENV。在Product\Manage Scheme中添加这个到Environment variables里面去。可以简单地添加这个名字，不需要值，就可以了。启动app后控制台就可以看到所有环境变量及其对应值了。）
这里需要注意的一点是，所有这些getenv的调用都发生在你的可执行文件开始执行之前。你可以在getenv添加一个断点然后查看调用栈来验证（你将找不到任何main入口的蛛丝马迹）。这意味着你不能够修改这个函数除非你在dyld加载动态库之前定义了getenv函数。
既然C并没有使用方法动态分配（objc_msgsend），要hook一个函数你必须得在它被加载之前拦截它。不过C函数也并不是棘手得彻底，C函数相对容易获取。所有你需要的只是函数的方法名，并不需要任何参数和所在动态库的名字。
c函数的hook有很多复杂度都不一样的方式。如果你只是想在你的可执行文件内进行hook，那要做到事情并不多。但是如果你想在main函数前hook一个方法，复杂度就提升了一个等级。
一旦你的可执行文件在main函数加载完毕，load commands里面指定的所有的动态库也都已加载完毕。dyld以深度优先的方式递归加载动态库。一旦链接器获取到一个特定函数的地址，它将会用这个函数的实际内存地址替换所有这个函数的引用。
这意味着如果你想在你的app启动前hook一个c函数，你需要创建一个动态库并把hook逻辑放到里面去，这样它在main函数被调用之前将会是可用的。
理论扯了一大堆，回到project中来。打开**AppDelegate.swift并用以下替换application(_:didFinishLaunchingWithOptions:)：
func application(_ application: UIApplication,
didFinishLaunchingWithOptions launchOptions:
[UIApplicationLaunchOptionsKey : Any]? = nil) -> Bool {
if let cString = getenv("HOME") {
let homeEnv = String(cString: cString)
print("HOME env: \(homeEnv)")
}
return true
}
取消上面创建的符号断点并运行，大概得到如下输出：
HOME env: /Users/username/Library/Developer/CoreSimulator/Devices/3EAAC880-B34B-4966-AE34-5C617769E54B/data/Containers/Data/Application/31F483BA-D23F-4DEC-8C0A-227CF6934A75
这个就是你正使用的模拟器的HOME环境变量。
通过以下命令获取getenv所在的动态库：
(lldb) image lookup -s getenv
1 symbols match 'getenv' in /Users/gogleyin/Library/Developer/Xcode/DerivedData/Watermark-grqfiuuagfwxlhgqetwiuaqnqiwn/Build/Products/Debug-iphonesimulator/Watermark.app/Frameworks/HookingC.framework/HookingC:
Address: HookingC[0x0000000000000d00] (HookingC.__TEXT.__text + 0)
Summary: HookingC`getenv at getenvhook.c:30
1 symbols match 'getenv' in /Applications/Xcode.app/Contents/Developer/Platforms/iPhoneSimulator.platform/Developer/SDKs/iPhoneSimulator.sdk//usr/lib/system/libsystem_c.dylib:
Address: libsystem_c.dylib[0x000000000005ca26] (libsystem_c.dylib.__TEXT.__text + 375174)
Summary: libsystem_c.dylib`getenv
现在假设你要这样对getenv进行hook：逻辑不变，只是当参数为HOME时返回点不一样的东西。
正如前面所述，你需要创建一个动态库。getenv本将会在main可执行文件中被解析，在这之前你的app的可执行文件必须获取到getenv的地址并改变它。
File/New/Target/Cocoa Touch Framework，设若Product Name为HookingC，Project和Embed in Application选择与你的app对应。然后新建一个c文件叫getenvhook.c（取消勾选Also create a header file），内容如下：
#import
#import
#import
#import
#import
char * getenv(const char *name) {
static void *handle;
static char * (*real_getenv)(const char *);
static dispatch_once_t onceToken;
dispatch_once(&onceToken, ^{
handle = dlopen("/usr/lib/system/libsystem_c.dylib", RTLD_NOW);
assert(handle);
real_getenv = dlsym(handle, "getenv");
});
if (strcmp(name, "HOME") == 0) {
return "/";
}
return real_getenv(name);
}
下面来解释一下。dlopen函数签名如下：
extern void * dlopen(const char * __path, int __mode);
dlopen接受一个char *类型的路径，和一个整型来决定它如何加载模块。如果成功返回一个handle(类型为void *)，否则NULL。
在dlopen返回一个对模块的引用后，你就可以使用dlsym来获取对函数getenv的引用了：
extern void * dlsym(void * __handle, const char * __symbol);
第一个参数为dlopen返回的handle，第二个参数为要获取的函数的名字。一切正常的话，它就会返回第二个指定的函数的地址，否则返回NULL。
需要注意的是，如果你调用了一个UIKit方法，然后UIKit调用了getenv，那么新的getenv方法并不会被调用，因为getenv的地址在UIKit的代码被加载的时候已经被解析了。