《iOS底层原理文章汇总》
上一篇文章《iOS-逆向15-HOOK原理《下》》介绍了去符号过程、fishhook以及Monkey重签名和代码注入，本文介绍InlineHook。
image
1.fishhook源码分析
static void perform_rebinding_with_section(struct rebindings_entry *rebindings,
section_t *section,
intptr_t slide,
nlist_t *symtab,
char *strtab,
uint32_t *indirect_symtab) {
//nl_symbol_ptr和la_symbol_ptrsection中的reserved1字段指明对应的indirect symbol table起始的index
uint32_t *indirect_symbol_indices = indirect_symtab + section->reserved1;
//slide+section->addr 就是符号对应的存放函数实现的数组也就是我相应的__nl_symbol_ptr和__la_symbol_ptr相应的函数指针都在这里面了，所以可以去寻找到函数的地址
void **indirect_symbol_bindings = (void **)((uintptr_t)slide + section->addr);
//遍历section里面的每一个符号
for (uint i = 0; i < section->size / sizeof(void *); i++) {
//找到符号在Indrect Symbol Table表中的值
//读取indirect table中的数据
uint32_t symtab_index = indirect_symbol_indices[i];
if (symtab_index == INDIRECT_SYMBOL_ABS || symtab_index == INDIRECT_SYMBOL_LOCAL ||
symtab_index == (INDIRECT_SYMBOL_LOCAL | INDIRECT_SYMBOL_ABS)) {
continue;
}
//以symtab_index作为下标，访问symbol table
uint32_t strtab_offset = symtab[symtab_index].n_un.n_strx;
//获取到symbol_name
char *symbol_name = strtab + strtab_offset;
//判断是否函数的名称是否有两个字符，为啥是两个，因为函数前面有个_，所以方法的名称最少要1个
bool symbol_name_longer_than_1 = symbol_name[0] && symbol_name[1];
//遍历最初的链表，来进行hook
struct rebindings_entry *cur = rebindings;
while (cur) {
for (uint j = 0; j < cur->rebindings_nel; j++) {
//这里if的条件就是判断从symbol_name[1]两个函数的名字是否都是一致的，以及判断两个
if (symbol_name_longer_than_1 &&
strcmp(&symbol_name[1], cur->rebindings[j].name) == 0) {
//判断replaced的地址不为NULL以及我方法的实现和rebindings[j].replacement的方法不一致
if (cur->rebindings[j].replaced != NULL &&
indirect_symbol_bindings[i] != cur->rebindings[j].replacement) {
//让rebindings[j].replaced保存indirect_symbol_bindings[i]的函数地址
*(cur->rebindings[j].replaced) = indirect_symbol_bindings[i];
}
//将替换后的方法给原先的方法，也就是替换内容为自定义函数地址
indirect_symbol_bindings[i] = cur->rebindings[j].replacement;
goto symbol_loop;
}
}
cur = cur->next;
}
symbol_loop:;
}
}
//回调的最终就是这个函数！ 三个参数：要交换的数组 、 image的头 、 ASLR的偏移
static void rebind_symbols_for_image(struct rebindings_entry *rebindings,
const struct mach_header *header,
intptr_t slide) {
/*dladdr() 可确定指定的address 是否位于构成进程的进址空间的其中一个加载模块（可执行库或共享库）内，如果某个地址位于在其上面映射加载模块的基址和为该加载模块映射的最高虚拟地址之间（包括两端），则认为该地址在加载模块的范围内。如果某个加载模块符合这个条件，则会搜索其动态符号表，以查找与指定的address 最接近的符号。最接近的符号是指其值等于，或最为接近但小于指定的address 的符号。
*/
/*
如果指定的address 不在其中一个加载模块的范围内，则返回0 ；且不修改Dl_info 结构的内容。否则，将返回一个非零值，同时设置Dl_info 结构的字段。
如果在包含address 的加载模块内，找不到其值小于或等于address 的符号，则dli_sname 、dli_saddr 和dli_size字段将设置为0 ； dli_bind 字段设置为STB_LOCAL ， dli_type 字段设置为STT_NOTYPE 。
*/
//这个dladdr函数就是在程序里面找header
Dl_info info;
if (dladdr(header, &info) == 0) {
return;
}
//下面就是定义好几个变量，准备从MachO里面去找！
segment_command_t *cur_seg_cmd;
segment_command_t *linkedit_segment = NULL;
struct symtab_command* symtab_cmd = NULL;
struct dysymtab_command* dysymtab_cmd = NULL;
//跳过header的大小，找loadCommand
uintptr_t cur = (uintptr_t)header + sizeof(mach_header_t);
for (uint i = 0; i < header->ncmds; i++, cur += cur_seg_cmd->cmdsize) {
cur_seg_cmd = (segment_command_t *)cur;
if (cur_seg_cmd->cmd == LC_SEGMENT_ARCH_DEPENDENT) {
if (strcmp(cur_seg_cmd->segname, SEG_LINKEDIT) == 0) {
linkedit_segment = cur_seg_cmd;
}
} else if (cur_seg_cmd->cmd == LC_SYMTAB) {
symtab_cmd = (struct symtab_command*)cur_seg_cmd;
} else if (cur_seg_cmd->cmd == LC_DYSYMTAB) {
dysymtab_cmd = (struct dysymtab_command*)cur_seg_cmd;
}
}
//如果刚才获取的，有一项为空就直接返回
if (!symtab_cmd || !dysymtab_cmd || !linkedit_segment ||
!dysymtab_cmd->nindirectsyms) {
return;
}
// Find base symbol/string table addresses
//链接时程序的基址 = __LINKEDIT.VM_Address -__LINKEDIT.File_Offset + silde的改变值
uintptr_t linkedit_base = (uintptr_t)slide + linkedit_segment->vmaddr - linkedit_segment->fileoff;
// printf("地址:%p\n",linkedit_base);
//符号表的地址 = 基址 + 符号表偏移量
nlist_t *symtab = (nlist_t *)(linkedit_base + symtab_cmd->symoff);
//字符串表的地址 = 基址 + 字符串表偏移量
char *strtab = (char *)(linkedit_base + symtab_cmd->stroff);
// Get indirect symbol table (array of uint32_t indices into symbol table)
//动态符号表地址 = 基址 + 动态符号表偏移量
uint32_t *indirect_symtab = (uint32_t *)(linkedit_base + dysymtab_cmd->indirectsymoff);
cur = (uintptr_t)header + sizeof(mach_header_t);
for (uint i = 0; i < header->ncmds; i++, cur += cur_seg_cmd->cmdsize) {
cur_seg_cmd = (segment_command_t *)cur;
if (cur_seg_cmd->cmd == LC_SEGMENT_ARCH_DEPENDENT) {
//寻找到data段
if (strcmp(cur_seg_cmd->segname, SEG_DATA) != 0 &&
strcmp(cur_seg_cmd->segname, SEG_DATA_CONST) != 0) {
continue;
}
for (uint j = 0; j < cur_seg_cmd->nsects; j++) {
section_t *sect =
(section_t *)(cur + sizeof(segment_command_t)) + j;
//找懒加载表
if ((sect->flags & SECTION_TYPE) == S_LAZY_SYMBOL_POINTERS) {
perform_rebinding_with_section(rebindings, sect, slide, symtab, strtab, indirect_symtab);
}
//非懒加载表
if ((sect->flags & SECTION_TYPE) == S_NON_LAZY_SYMBOL_POINTERS) {
perform_rebinding_with_section(rebindings, sect, slide, symtab, strtab, indirect_symtab);
}
}
}
}
}
static void _rebind_symbols_for_image(const struct mach_header *header,
intptr_t slide) {
rebind_symbols_for_image(_rebindings_head, header, slide);
}
int rebind_symbols_image(void *header,
intptr_t slide,
struct rebinding rebindings[],
size_t rebindings_nel) {
struct rebindings_entry *rebindings_head = NULL;
int retval = prepend_rebindings(&rebindings_head, rebindings, rebindings_nel);
rebind_symbols_for_image(rebindings_head, (const struct mach_header *) header, slide);
if (rebindings_head) {
free(rebindings_head->rebindings);
}
free(rebindings_head);
return retval;
}
int rebind_symbols(struct rebinding rebindings[], size_t rebindings_nel) {
//prepend_rebindings的函数会将整个 rebindings 数组添加到 _rebindings_head 这个链表的头部
//Fishhook采用链表的方式来存储每一次调用rebind_symbols传入的参数，每次调用，就会在链表的头部插入一个节点，链表的头部是：_rebindings_head
int retval = prepend_rebindings(&_rebindings_head, rebindings, rebindings_nel);
//根据上面的prepend_rebinding来做判断，如果小于0的话，直接返回一个错误码回去
if (retval < 0) {
return retval;
}
//根据_rebindings_head->next是否为空判断是不是第一次调用。
if (!_rebindings_head->next) {
//第一次调用的话，调用_dyld_register_func_for_add_image注册监听方法.
//已经被dyld加载的image会立刻进入回调。
//之后的image会在dyld装载的时候触发回调。
_dyld_register_func_for_add_image(_rebind_symbols_for_image);
} else {
//遍历已经加载的image，进行的hook
uint32_t c = _dyld_image_count();
for (uint32_t i = 0; i < c; i++) {
_rebind_symbols_for_image(_dyld_get_image_header(i), _dyld_get_image_vmaddr_slide(i));
}
}
return retval;
}
InlineHook
1.InlineHook工具Dobby的编译
1.克隆Dobby代码,官网地址
#depth 1 commit.
git clone https://github.com/jmpews/Dobby.git --depth=1
2.cmake编译
cd Dobby && mkdir build_for_ios_arm64 && cd build_for_ios_arm64
cmake .. -G Xcode -DCMAKE_TOOLCHAIN_FILE=cmakeios.toolchain.cmake -DPLATFORM=OS64 -DARCHS="arm64" -DCMAKE_SYSTEM_PROCESSOR=arm64 -DENABLE_BITCODE=0 -DENABLE_ARC=0 -DENABLE_VISIBILITY=1 -DDEPLOYMENT_TARGET=9.3 -DDynamicBinaryInstrument=ON -DNearBranch=ON -DPlugin.SymbolResolver=ON -DPlugin.Darwin.HideLibrary=ON -DPlugin.Darwin.ObjectiveC=ON
image
3.编译完成后会生成一个Xcode工程
image
4.编译Xcode工程，生成我们的framework
image
5.bitcode的问题，将framework支持bitcode或将使用framework中的bitcode功能关闭，
bitcode 是苹果独有的⼀层中间代码。包含 bitcode 配置的程序将会在 App Store 上编译和链接。
bitcode允许苹果在后期重新优化我们程序的⼆进制⽂件 也就是苹果会将这个bitcode编译为可执⾏的64位或32位程序。
image
Framework库⾸次拖⼊⼯程 Xcode不会⾃动帮你拷⻉运⾏时你会发现库没有打包进⼊App包。造成DYLD加载时找不到库的错误。看到报错dyld: Library not loaded: @rpath/Dobby.framework/Dobbyrpath，有一种似曾相似的感觉，dyld发现MachO文件的Load Commands中有Dobby这个framework，dyld就会去Load Commands中给定的路径@rpath/Dobby.framework/Dobby去找Dobby这个framework,然而App包中无法找到
image
image
手动添加拷贝framework
图片.png
image
看到控制台输出，表示运行成功了，迫不及待，使用Dobby
图片.png
2.使用Dobby框架:hook自定义的函数
I.主要函数DobbyHook和参数
// replace function
/**
arg1:需要HOOK的函数地址
arg2:新函数地址
arg3:保留原始函数的指针的地址
*/
int DobbyHook(void *function_address, void *replace_call, void **origin_call);
这个就是用来HOOK我们自定义函数的，那么我们来使用一下。你会发现这个函数的使用和fishhook非常像！
II.定义要hook的自定义函数sum,保留原来函数的函数指针,新函数（用这个函数替换你需要HOOK的函数，那么该函数的返回值以及参数要保持一致）
int sum(int a,int b){
return a + b;
}
//函数指针用于保留原来的执行流程
static int(*sum_p)(int a,int b);
//新函数
int mySum(int a,int b){
NSLog(@"Hook成功!!!原有的结果是:%d",sum_p(a,b));
return a - b;
}
III.开始Hook，可以在load方法中或viewDidLoad进行hook，顺利hook成功。
DobbyHook(sum, mySum, (void *)&sum_p);
image
3.Dobby Hook自定义函数的原理
并没有增加代码，只是修改了指令，增加了三句指令
hook前后，sum函数汇编代码对比
image
图片.png
在sum函数的开头增加3句汇编指令，底下的代码在执行调用原来的方法sum_p的时候会执行
image
图片.png
如果调用原始的调用，才会拉伸栈，做栈平衡，如果不需要调用原始的调用，就在此不做栈平衡
图片.png
进入sum后面的那一段汇编，改变代码并没有多加代码，只是修改了内容指令，当需要调用原来的函数的时候，专门去做栈平衡
image
修改的Text段实际上是替换，新建一个copy上去
4.实际做逆向的过程中，无法得到函数名称sum，符号替换成地址
怎么得到符号的地址呢？首先得到ASLR，再根据断点计算出偏移地址
内存中的实际地址0x10468dc9c-ASLR0x0000000104688000=偏移值0x5C9C
图片.png
image
得到偏移地址后，则实际运行过程中内存地址=ASLR+offset
将代码中的函数名替换为地址，要加上PageZero,如下写法是错误的，因为加了代码后sum在MachO文件中的偏移值将变化不再是0x5C9C，重新编译，在MachO文件中查看偏移值00005C1C
图片.png
image
通过计算内存中的地址0x102f71c1c-ASLR0x0000000102f6c000 = 0x5C1C,修改sumP地址为0x100005c1c后重新运行
图片.png
通过地址成功hook到
图片.png
5.为什么MachO文件中的PageZero都是从4个G开始？操作系统分配4G的虚拟地址，是从第4个G到第8个G的地址空间，4个G后面还加offset
为什么从0x100000000开始呢？？？为了兼容32位，32位从0x00000000开始最大为0xffffffff,始终比0x100000000少一位，从PageZero0x100000000开始的都是64位的
image
6.将Dobby注入应用
I.新建一个应用，里面有调用sum函数,将符号去掉，求出偏移值offset为0x5DA0
image
image
去掉符号后的ASLR为0x0000000104de4000，加上偏移值0x5DA0,内存中的地址为0x104DE9DA0
image
image
运行生成APP包FunDemo，拷贝出来，进行Dobby注入Hook
II.新建工程HookSumDemo,重签FuncDemo
没有符号的时候，函数地址就是函数名称，地址直接翻译成名称。
image
图片.png
III.引入Dobby framework,拖入工程后，配置CloudHook中Other Linker Flags为-framework Dobby,Framework Search PathsLibrary Search Paths改为工程根目录$(SRCROOT)
图片.png
image
图片.png
主工程embeded frameworks中添加Dobby
image
IV.新建注入的framework名为CloudHook(framework的版本号要调低),和注入代码Inject类,能成功Hook到
image
static uintptr_t sumP = 0x100005DA0;
static int (*sum_p)(int a,int b);
int mySum(int a,int b){
NSLog(@"Hook到了!!!");
return sum_p(a,b);
}
+(void)load{
uintptr_t aslr = _dyld_get_image_vmaddr_slide(0);
sumP += aslr;
DobbyHook((void *)sumP, mySum, (void *)&sum_p);
}
图片.png
注意,若报错Library not load,则将Build Phases中的Run Scripts块上下移动调整即可解决。
图片.png