iOS 动态修改方法实现的两种方法

在日常开发中,我们经常需要hook一些方法,添加一些自己的逻辑,本文将介绍两种动态修改方法实现的手段。

  1. 动态修改 Objective-C 方法实现
  2. 动态修改 C 语言函数实现

本文主要从原理的角度来介绍为什么能够动态修改方法实现

主要涉及的知识点:

  1. Objective-C 消息体系
  2. Mach-O 格式
  3. fishhook 原理

0x01. 动态修改 Objective-C 方法实现

1) Objective-C 消息机制简介

先啰嗦一下Objective-C,后面我们再讨论如何修改Objective-C的方法实现

Objective-C是一种通用、高级、面向对象的编程语言。它扩展了标准的ANSI C编程语言,将Smalltalk式的消息传递机制加入到ANSI C中。目前主要支持的编译器有GCC和Clang(采用LLVM作为后端)。
--- 摘自维基百科

维基百科给的解释中给到了三个关键点:
1. 扩展了标准ANSI C

Objective-C 是C语言的超集, 源代码中可以无缝使用C语言

2. 加入了消息传递机制

在传统面向对象语言中,方法的调用是person.run()的形式,等价于run(this),即此处的run方法指示一个普通的函数,参数为this指针,函数的地址是在编译器确定的,一般来说,一旦编译完成,是无法更改对象的地址的;

而在Objective-C中,方法调用形式如同 [person run],被称为消息发送,即“对person对象发送run消息”;简单来说,分为以下几步:

  1. [person run]会被翻译成objc_msgSend(person, @selector(run))
  2. 从类Person的方法列表中查找到run 方法的信息(底层是method_t类型),此处信息是个结构体,包含方法名、类型(返回值和参数类型)、指向实际代码的指针

多啰嗦一句,@selector(run)返回的SEL类型其实是个字符串,Objective-C 方法查找是通过这个字符串匹配查找的,远远没有静态函数的调用高效,所以在源码层添加了一层缓存,缓解了多次查找低效问题

3. 面向对象

面向对象是一个很大的概念,这里不展开,因为C语言不支持对象,Objective-C建立了一套对象体系,Runtime整个对象体系中不可或缺的一环

2) 如何修改Objective-C 方法实现

聊了这么多,回到正题,如何动态修改 Objective-C 方法实现?

上面我们知道,针对[person run]等价于objc_msgSend(person, @selector(run)),从类Person的方法列表中查找到run 方法的信息个结构体,里面包含了指向实际代码的指针,然后进行调用

typedef struct method_t *Method;
struct method_t {
    SEL name;
    const char *types;
    MethodListIMP imp; // 此处是IMP类型,也就是个函数指针

    struct SortBySELAddress :
        public std::binary_function
    {
        bool operator() (const method_t& lhs,
                         const method_t& rhs)
        { return lhs.name < rhs.name; }
    };
};

既然是个结构体,我们便有办法修改指向实际代码的指针指向,使指调用到别处

如上代码
我们只要能替换掉imp指针即可!
我们只要能替换掉imp指针即可!
我们只要能替换掉imp指针即可!

Runtime 提供了相应的API,可以很方便的进行替换,这就是我们经常听说的 method swizzle

class_getInstanceMethod 获取Class的实例方法,即“-”号方法,返回Method结构
class_getClassMethod 获取Class的类方法,即“+”号方法,返回Method结构
method_exchangeImplementations 交换方法实现

瞄一眼源代码,也证明了我们的猜测,交换了指针指向

void method_exchangeImplementations(Method m1, Method m2)
{
    if (!m1  ||  !m2) return;

    mutex_locker_t lock(runtimeLock);

    IMP m1_imp = m1->imp;
    m1->imp = m2->imp;
    m2->imp = m1_imp;
    ...
}

示例代码


@implementation ViewController
+ (void)load {
    // 找到ViewController 中的实例方法 viewDidLoad的 Method
    Method origin = class_getInstanceMethod(self, @selector(viewDidLoad));
    // 找到ViewController 中的实例方法 custom_viewDidLoad的 Method
    Method custom = class_getInstanceMethod(self, @selector(custom_viewDidLoad));
    // 调用Runtime 方法交换实现
    method_exchangeImplementations(origin, custom);
}

- (void)viewDidLoad {
    [super viewDidLoad];
    
}

- (void)custom_viewDidLoad {
    // 这里可以添加自己的逻辑
    [self custom_viewDidLoad];
}


@end

再啰嗦一句,+ load方法在调用时机在 main函数之前,Runtime初始化之后;
Runtime会先调用所有类的+ load方法,然后再调用所有Category+ load方法,想想一下多个Category+ load方法中都对同一个方法进行了交换会出现什么问题?

0x02. 动态修改 C 语言函数实现

1. 原理

C语言作为一个很古老的静态编译型语言,代码编译完成后,所有函数调用便固定了,无法进行修改,函数调用,比如run函数仅仅是一个函数指针,函数调用后会跳转到该地址处继续执行而已。

这样看来,动态修改C函数的实现似乎不太可能?

这里我们需要思考一个问题,如下代码中,NSLog这个函数的调用过程是什么?

int main(int argc, const char * argv) {
    NSLog(@“%@”, “hello world”);
}

首先,我们需要先搞明白,NSLog函数是在Foundation动态库中定义的,main函数是如何调用到NSLog函数的,函数地址是如何拿到的?

首先,在main函数中的_NSLog符号 和 Foundation 中的NSLog的实际实现需要关联。

  1. 如果是静态链接,链接器会将_NSLog 符号会直接指向 NSLog的实现,这样就跟链接器脱离了关系,即实际指令 jmp 0xXXXXXXX,这种情况程序运行过程中是无法进行hook的。
  2. 如果是动态链接,链接器会将_NSLog 符号和 Foundation 中的NSLog的具体实现建立某种联系,然后由dyld 帮我们找到Foundation中的实现。

dyld 建立符号和具体实现之间的联系的过程叫做绑定(bind)绑定根据绑定时机又可以分为,启动时绑定和延时绑定:

  • 启动时绑定:在程序运行时,dyld 会自动将符号和实现绑定
  • 延时绑定:在程序运行后,当符号调用时,会自动跳转到 dylddyld_stub_binder 方法,由 dyld 帮我们找到具体实现

_NSLog和其具体实现就是延时绑定,为了方便解释我做了张图,根据图中数字标识,逐个解释,最终能够了解到main函数是如何找到NSLog地址并跳转的。

iOS 动态修改方法实现的两种方法_第1张图片
符号动态绑定.png
  1. 源程序被编译器编译成Mach-O二进制,NSLog(@"%@", @"hello world"); 被翻译成 jmp _NSLog ;[0x100003038]
  2. Section(DATA, __la_symbol_ptr)段,是一张符号和具体地址之间的索引表,表的每一项都指向Section(Text, __stub_helper)一段代码, 该段代码都将跳转到 dyld dyld_stub_binder方法,这个方法返回NSLog的实际实现;
  3. dyld_stub_binder方法符号跟 dyld 中的具体实现是在启动时绑定,这个后面再讲

Section(DATA, __la_symbol_ptr) 这个段是数据段,可读可写,这点很重要

我们可以在程序运行时改变这个表特定的一项的指向,来改变C函数的实现!
我们可以在程序运行时改变这个表特定的一项的指向,来改变C函数的实现!
我们可以在程序运行时改变这个表特定的一项的指向,来改变C函数的实现!

2. 如何实现

假设我们要替换 NSLog 方法的实现,要实现整个过程,我们还要解决几个问题。

1.Section(DATA, __la_symbol_ptr) 表只是一个指针数组,如何知道哪个是 NSLog

  1. 我们需要使用 NSLog 的字符串来进行索引,如何根据字符串找到相应的符号结构?

我又画了张图...

iOS 动态修改方法实现的两种方法_第2张图片
fishhook原理.png
  1. 找到 Section(DATA, __la_symbol_ptr)表在indirect symbols表中的起始位置,indirect symbols表中包含符号在 Symbol Table 中的索引

  2. 然后由此位置遍历每一项,记录当前位置 A ,找到的 A 位置的符号在 String Table 索引,然后取出索引处的字符串跟我们需要的函数名比较,如果相等,则 A 就是我们要找的位置。

  3. 我们修改 Section(DATA, __la_symbol_ptr) 位置 A 出的指针指向即可。

图中使用到的段简介,深入了解请自行搜索 Mach-O

  • Section(DATA, __la_symbol_ptr) 表中是一个指针数组,每个项都指向一段代码;
  • Symbol Table 程序内所有符号
  • indirect symbols 表包含该 Mach-O 所有动态符号在 Symbol Table 中的索引;其中依赖的动态符号分布在三个段
    • Section(DATA, __la_symbol_ptr) 延时绑定的符号
    • Section(DATA, __nl_symbol_ptr) 启动时绑定的符号,主要是函数符号
    • Section(DATA, got)启动时绑定的符号,但包含的主要是静态变量和汇编符号
  • String Table 包含程序内的所有字符串,包含符号名等

附一个具体的 Mach-O 结构图


iOS 动态修改方法实现的两种方法_第3张图片
macho.png

至此,动态修改 C 函数实现的原理部分就介绍完毕了

再啰嗦一句,只有indirect symbols 表包含的符号才可以进行动态修改实现,这个段的符号都是动态链接的外部符号

因此,所有静态链接的符号都不适用! 这就是 fishhook不支持本地符号hook的原因

3. fishhook 简介

Facebook的fishhook便是利用了这个特性,具体代码可以自行查看

先看一眼如何使用

static void (* old_nslog)(NSString *format, ...);
void My_NSLog(NSString *format, ...) {
    // 程序会到这里
}

int main(int argc, const char * argv[]) {

    struct rebinding binds[1] = {{
            "NSLog", //需要替换掉的函数名称
            (void *)My_NSLog, //代替的函数指针
            (void **)&old_nslog //保留的原指针
        }};
    
    rebind_symbols(binds, 1);
    
    NSLog(@"%@%@", @"my name is", @"parkin");
    
}

0x03. 参考文档

  • fishhook源码
  • 巧用符号表 - 探求 fishhook 原理(一)
  • Mach-O Programming Topics
  • Hook 原理之 fishhook 源码解析

你可能感兴趣的:(iOS 动态修改方法实现的两种方法)