Mach-O

逆向APP的思路

• 1.界面分析
  • A.Cycript
  • B.Reveal
• 2.代码分析
  • A.对Mach-O文件的静态分析
  • B.MachOView, class-dump, Hopper Disassembler, ida等
• 3.动态调试
  • A.对运行中的APP进行代码调试
  • B.debugserver, LLDB
• 4.代码编写
  • A.注入代码到APP中
  • B.重签名，打包ipa

class-dump

• 1.作用：把Mach-O文件的class信息给dump出来，生成对应的.h文件
• 2.官方地址
• 3.下载完工具包以后将class-dump文件复制到Mac的/usr/local/bin目录，这样终端就能识别class-dump命令了
• 4.常用格式 class-dump -H Mach-O文件路径 -o 头文件存放路径
  • A. -H表示要生成头文件
  • B. -o 用于指定头文件的存放目录

代码的编译过程

image.png

不同的oc代码，编译出来的汇编代码可能是一样的

image.png

Hopper Disassembler

• 1.Hopper Disassembler能够将Mach-O文件的机器语言代码反汇编成汇编代码，OC或者swift伪代码
• 2.常用快捷键
  • A. Shift + Option + X :找出哪里引用了这个方法

动态库共享缓存

• 1.从iOS3.1开始，为了提高性能，绝大部分系统动态库文件都打包存放到一个缓存文件中（dyld shared cache）
  • A.缓存文件路径：/System/Library/Caches/com.apple.dyld/dyld_shared_cache_armX
• 2. dyld_shared_cache_armX的X代表ARM处理器指令集架构

动态库的加载

• 1.在Mac/iOS中，是使用了usr/lib/dyld程序来加载动态库
  • A. dyld
    1.dynamic link editor 动态链接编辑器
    2.dynamic loader 动态加载器
• 2.dyld源码

从动态库共享缓存抽取动态库

• 1.可以使用dyld源码中的launch-cache/dsc_extractor.cpp
  • A.将#if 0 前面的代码删除（包括#if 0）,把最后的#endif也删掉
  • B.编译dsc_extractor.cpp
    • 1.clang++ -o dsc_extractor dsc_extractor.cpp
  • C.使用dsc_extractor

    1. ./dsc_extractor 动态库共享缓存文件的路径 用于存放抽取结果的文件夹

       
       
       image.png

Mach-O

• 1.Mach-O是Mach object的缩写，是Mac/iOS上用于存储程序，库的标准格式

• 2.属于Mach-O文件的文件类型有

  
  
  image.png
• 3.可以在xnu源码中查看Mach-O格式的详细定义xnu
  • A.EXTERNAL_HEADERS/mach-o/fat.h
  • B.EXTERNAL_HEADERS/mach-o/loader.h

常见的Mach-O文件类型

• 1.MH_OBJECT
  • A.目标文件.o
  • B.静态库文件.a，静态库其实就是N个.o合并到一起
• 2.MH_EXECUTE：可执行文件
  • A. .app/xx
• 3.MH_DYLIB：动态库文件
  • A. .dylib
  • B. .framework/xx
• 4.MH_DYLINKER：动态链接编辑器
  • A. usr/bin/dyld
• 5.MH_DSYM：存放着二进制文件符号信息的文件

  • A. .DSYM/contents/Resources/DWARF/xx （常用于分析APP崩溃信息）

    
    
    image.png

在Xcode中查看target的Mach-O文件类型

image.png

Mach-O的基本结构

• 1.官方描述
• 2.一个Mach-O文件包含三个主要区域
  • A.Header：文件类型，目标架构类型等
  • B.Load commands：描述文件在虚拟内存中的逻辑结构，布局

  • C.Raw segment Data：在Load commands中定义的segment原始数据

    
    
    image.png

窥探Mach-O文件的结构

• 1.命令行工具
  • A.file：查看Mach-O的文件类型
    1. file 文件路径
  • B.otool：查看Mach-O特定部分和段的内容
  • C.lipo：常用语多架构Mach-O文件的处理
    • 1.查看架构信息 lipo -info 文件路径
    • 2.导出某种特定架构：lipo 文件路径 -thin 架构类型 -output 输出文件路径
    • 3.合并多种架构：lipo 文件1 文件2 -output 输出文件路径
• 2.GUI工具
  • A.MachOView

Universal Binary （通用二进制文件）

• 1.通用二进制文件
  • A. 同时适用于多种架构的二进制文件
  • B.包含多种不同架构的独立的二进制文件
• 2.因为要存储多种架构的代码，通用二进制文件通常比单一平台二进制的程序要大
• 3.由于两种架构有共同的一些资源，所以并不会达到单一版本的两倍之多
• 4.由于执行过程中，只调用一部分代码，运行起来也不需要额外的内存
• 5.因为文件要比原来的大，所以也称为“胖二进制文件”（Fat Binary）

dyld和Mach-O

• 1.dyld用于加载以下类型的Mach-O文件
  • A.MH_EXECUTE
  • B.MH_DYLIB
  • C.MH_BUNDLE
• 2.APP的可执行文件，动态库都是由dyld负责加载的