初始Mach-O

iOS APP从开发到安装到手机的过程

1、通过编译、链接、签名生成.app文件,然后通过zip压缩生成.ipa文件。

2、.ipa文件上传AppStore下载安装或使用iFunBox、Xcode等工具安装。

逆向APP的思路

1、界面分析:通过使用Cycript、Reveal等工具进行界面层级结构等分项。

2、代码分析:通过MachOView、class-dump、Hopper Disassembler、ida等工具对Mach-O文件进行静态分析。

3、动态调试:通过debugserver、LLDB对运行中的APP进行代码调试。

4、编写代码将自己的代码注入到App中,必要时还可能需要重新签名、打包ipa。

class-dump

把Mach-O文件的class信息dump出来(把类信息导出),生成对应的.h头文件。官方地址:http://stevenygard.com/projects/class-dump/。下载完工具包后将class-dump文件复制到Mac的/usr/local/bin目录,这样在终端就能识别class-dump命令了。class-dump使用命令:class-dump -H Mach-O可执行文件 -o 输出文件夹。

代码的编译过程

以Objective-C为例,首先由Objective-C语言编译成汇编语言,再由汇编语言编译成机器语言,也就是Mach-O文件。在同一种架构平台下,每一条汇编指令都有与之对应的唯一的机器指令,因此汇编语言与机器语言之间是可以准确的进行编译和反编译的。但从汇编语言反编译到Objective-C只能做到大概,无法做到完全反编译。

Hopper Disassmbler

可以将Mach-O文件的机器语言代码反编译成汇编代码、OC伪代码或Swift伪代码的工具。

动态库共享缓存

从iOS3.1开始,为了提高性能,绝大部分的系统动态库文件都打包放到了一个缓存文件中(dyld shared cache)。在iPhone中的路径为/System/Library/Caches/com.apple.dyld/dyld_shared_cache_armX。

动态缓存库目录

使用动态库共享缓存的一个非常明显的好处就是节省内存,现在的ida、Hopper反编译工具都可以识别动态库共享缓存。

Mac/iOS中使用/usr/lib/dyld程序来加载动态库,dynamic link editor动态链接编辑器,dynamic loader动态加载器。苹果开源了dyld源码:https://opensource.apple.com/tarballs/dyld/。我们可以使用dyld源码中的launch-cache/dsc_extractor.cpp从动态库共享缓存中抽取动态库。

1、将dsc_extractor.cpp文件中的#if 0前面的代码(包括#if 0)删除,把最后面的#endif也删除。

2、编译dsc_extractor.cpp文件,使用Mac的/usr/bin/下的clang++指令进行编译:/usr/bin/clang++ -o dsc_extractor dsc_extractor.cpp,输出结果为dsc_extractor可执行文件。

3、使用编译好的dsc_extractor可执行文件从动态库共享缓存中抽取动态库:./dsc_extractor dyld_shared_cache_arm64 arm64。输出结果将放在arm64文件夹中。

抽取结果

Mach-O简洁

Mach-O是Mach Object的缩写,是Mac/iOS上用于存储程序、库的标准格式。Mach-O常见的文件类型主要有以下几种:

1、MH_OBJECT:包括目标文件(.o)和静态库文件(.a,可由N个.o文件合并成在一起)。

2、MH_EXECUTE:可执行文件。

3、MH_DYLIB:动态库文件。包括.dylib文件和.framework/xx(例如UIKit.framework下的UIKit文件)。

4、MH_DYLINKER:动态链接编辑器(位置在iPhone的/usr/lib/dyld处)。

5、MH_DSYM:存储着二进制文件符号信息的文件,例如编译后位于.dSYM/Contents/Resources/DWARF/xx中的文件(常用于分析APP的崩溃信息)。

Mach-O基本结构

一个Mach-O文件包含3个主要区域:

1、Header:文件类型、目标架构类型等。

2、Load commands:描述文件在虚拟内存中的逻辑结构、布局。

3、Raw segment data:在Load commands中定义的Segment的原始数据。

Mach-O窥探

可以通过使用命令行工具或GUI工具来窥探Mach-O结构。

命令行工具:

1、file:查看Mach-O的文件类型。使用命令”file 文件路径“。

2、otool:查看Mach-O特定部分和段的内容。例如”otool -h 文件路径“可以查看Mach-O文件的Header信息。

3、lipo:常用于多架构Mach-O文件的处理。主要用法有查看架构信息(ipo -info 文件路径)、导出某种特定架构(lipo 文件路径 -thin 架构类型 -output 输出文件路径)、合并多种架构(lipo 文件路径1 文件路径2 -output 输出文件路径)。

GUI工具:

MachOView:选择指定的Mach-O文件打开即可。

dyld和Mach-O文件

dyld也属于Mach-O文件,但它可以用于加载MH_EXECUTE、MH_DYLIB、MH_BUNDLE这三种Mach-O文件。事实上,APP的可执行文件、动态库都是由dyld负责加载的。

你可能感兴趣的:(初始Mach-O)