iOS 逆向开发14：MachO文件

iOS 逆向开发 文章汇总

目录

• 一、MachO文件
• 二、MachO文件结构
• 总结

一、MachO文件

Mach-O其实是Mach Object文件格式的缩写，是mac以及iOS上可执行文件的格式， 类似于windows上的PE格式 (Portable Executable ), linux上的elf格式 (Executable and Linking Format)

Mach-O文件格式

• Mach-O为Mach object文件格式的缩写，它是一种用于可执行文件、目标代码、动态库的文件格式。作为a.out格式的替代，Mach-O提供了更强的扩展性。

• 属于MachO格式的常见文件

  • 目标文件.o
  • 库文件 .a、Framework、.dylib
  • 可执行文件
  • dyld
  • .dsym

• File指令

  • 通过 $file 文件路径 查看文件类型

通用二进制文件（Universal binary）

• 苹果公司提出的一种程序代码。能同时适用多种架构的二进制文件
• 同一个程序包中同时为多种架构提供最理想的性能。
• 因为需要储存多种代码，通用二进制应用程序通常比单一平台二进制的程序要大。
• 但是由于两种架构有共通的非执行资源(代码以外的)，所以并不会达到单一版本的两倍之多。
• 而且由于执行中只调用一部分代码，运行起来也不需要额外的内存。

打包时选择支持iOS11以下的系统就会生成兼容armv7架构的代码

lipo命令

• 使用lifo -info 可以查看MachO文件包含的架构

  • $lipo -info MachO文件

• 使用lifo –thin 拆分某种架构

  • $lipo MachO文件 –thin 架构 –output 输出文件名称

• 使用lipo -create 合并多种架构

  • $lipo -create MachO1 MachO2 -output 输出文件名称

二、MachO文件结构

因为MachO文件本身是一种文件格式，所以我们一定需要了解其文件内部结构。

Mach-O 的组成结构如图所示包括了如下三个部分的信息：

• Header 包含该二进制文件的一般信息

  • 字节顺序、架构类型、加载指令的数量等。
  • 使得可以快速确认一些信息，比如当前文件用于32位还是64位，对应的处理器是什么、文件类型是什么

• Load commands 一张包含很多内容的表

  • 内容包括区域的位置、符号表、动态符号表等。

• Data 通常是对象文件中最大的部分

  • 包含Segement的具体数据

苹果官网图片

Header的数据结构

位置：Xcode-->Command + Shift + O-->loader.h-->mach_header_64

LoadCommands

32位地址：0x12345678
64位地址：0x12345678a2345678（两个16进制位代表一个字节，一个字节8位）
   位数 = 个数 / 2 * 8 = 个数 * 4

总结

• MachO属于一种文件格式
  • 包含:可执行文件、静态库、动态库、dyld等等
  • 可执行文件:
    • 通用二进制文件:集合了多种架构
    • lipo命令
      thin 拆分架构
      creat 合并架构
• Mach0结构:
  • Header
    用于快速确定该文件的CPU类型、 文件类型
  • Load Commands
    指示加载器如何设置并且加载二进制数据
  • Data
    存放数据:代码、数据、字符串常量、类、方法等等。