初始Mach-O

iOS APP从开发到安装到手机的过程

1、通过编译、链接、签名生成.app文件，然后通过zip压缩生成.ipa文件。

2、.ipa文件上传AppStore下载安装或使用iFunBox、Xcode等工具安装。

逆向APP的思路

1、界面分析：通过使用Cycript、Reveal等工具进行界面层级结构等分项。

2、代码分析：通过MachOView、class-dump、Hopper Disassembler、ida等工具对Mach-O文件进行静态分析。

3、动态调试：通过debugserver、LLDB对运行中的APP进行代码调试。

4、编写代码将自己的代码注入到App中，必要时还可能需要重新签名、打包ipa。

class-dump

把Mach-O文件的class信息dump出来（把类信息导出），生成对应的.h头文件。官方地址：http://stevenygard.com/projects/class-dump/。下载完工具包后将class-dump文件复制到Mac的/usr/local/bin目录，这样在终端就能识别class-dump命令了。class-dump使用命令：class-dump -H Mach-O可执行文件 -o 输出文件夹。

代码的编译过程

以Objective-C为例，首先由Objective-C语言编译成汇编语言，再由汇编语言编译成机器语言，也就是Mach-O文件。在同一种架构平台下，每一条汇编指令都有与之对应的唯一的机器指令，因此汇编语言与机器语言之间是可以准确的进行编译和反编译的。但从汇编语言反编译到Objective-C只能做到大概，无法做到完全反编译。

Hopper Disassmbler

可以将Mach-O文件的机器语言代码反编译成汇编代码、OC伪代码或Swift伪代码的工具。

动态库共享缓存

从iOS3.1开始，为了提高性能，绝大部分的系统动态库文件都打包放到了一个缓存文件中（dyld shared cache）。在iPhone中的路径为/System/Library/Caches/com.apple.dyld/dyld_shared_cache_armX。

动态缓存库目录

使用动态库共享缓存的一个非常明显的好处就是节省内存，现在的ida、Hopper反编译工具都可以识别动态库共享缓存。

Mac/iOS中使用/usr/lib/dyld程序来加载动态库，dynamic link editor动态链接编辑器，dynamic loader动态加载器。苹果开源了dyld源码：https://opensource.apple.com/tarballs/dyld/。我们可以使用dyld源码中的launch-cache/dsc_extractor.cpp从动态库共享缓存中抽取动态库。

1、将dsc_extractor.cpp文件中的#if 0前面的代码（包括#if 0）删除，把最后面的#endif也删除。

2、编译dsc_extractor.cpp文件，使用Mac的/usr/bin/下的clang++指令进行编译：/usr/bin/clang++ -o dsc_extractor dsc_extractor.cpp，输出结果为dsc_extractor可执行文件。

3、使用编译好的dsc_extractor可执行文件从动态库共享缓存中抽取动态库：./dsc_extractor dyld_shared_cache_arm64 arm64。输出结果将放在arm64文件夹中。

抽取结果

Mach-O简洁

Mach-O是Mach Object的缩写，是Mac/iOS上用于存储程序、库的标准格式。Mach-O常见的文件类型主要有以下几种：

1、MH_OBJECT：包括目标文件（.o）和静态库文件（.a，可由N个.o文件合并成在一起）。

2、MH_EXECUTE：可执行文件。

3、MH_DYLIB：动态库文件。包括.dylib文件和.framework/xx（例如UIKit.framework下的UIKit文件）。

4、MH_DYLINKER：动态链接编辑器（位置在iPhone的/usr/lib/dyld处）。

5、MH_DSYM：存储着二进制文件符号信息的文件，例如编译后位于.dSYM/Contents/Resources/DWARF/xx中的文件（常用于分析APP的崩溃信息）。

Mach-O基本结构

一个Mach-O文件包含3个主要区域：

1、Header：文件类型、目标架构类型等。

2、Load commands：描述文件在虚拟内存中的逻辑结构、布局。

3、Raw segment data：在Load commands中定义的Segment的原始数据。

Mach-O窥探

可以通过使用命令行工具或GUI工具来窥探Mach-O结构。

命令行工具：

1、file：查看Mach-O的文件类型。使用命令”file 文件路径“。

2、otool：查看Mach-O特定部分和段的内容。例如”otool -h 文件路径“可以查看Mach-O文件的Header信息。

3、lipo：常用于多架构Mach-O文件的处理。主要用法有查看架构信息（ipo -info 文件路径）、导出某种特定架构（lipo 文件路径 -thin 架构类型 -output 输出文件路径）、合并多种架构（lipo 文件路径1 文件路径2 -output 输出文件路径）。

GUI工具：

MachOView：选择指定的Mach-O文件打开即可。

dyld和Mach-O文件

dyld也属于Mach-O文件，但它可以用于加载MH_EXECUTE、MH_DYLIB、MH_BUNDLE这三种Mach-O文件。事实上，APP的可执行文件、动态库都是由dyld负责加载的。