dyld Interposing

最新推荐文章于 2021-10-24 10:56:57 发布

lithermirror

最新推荐文章于 2021-10-24 10:56:57 发布

阅读量921

点赞数

CC 4.0 BY-SA版权

分类专栏： Mac OS X 文章标签： insert path struct os gcc c

本文链接：https://blog.youkuaiyun.com/lithermirror/article/details/5339875

Mac OS X 专栏收录该内容

1 篇文章

订阅专栏

本文介绍如何在MacOSX 10.4及以上版本中使用dyld进行库函数注入，通过创建动态共享库并利用DYLD_INSERT_LIBRARIES环境变量来替换指定函数，如open()和close()。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

从 Mac OS X 10.4 开始，dyld 就开始支持库函数的注入了。例如，如果想注入 C 函数库里的 open()，那么首先要实现替代函数的动态共享库，并且在这个库的 __DATA （数据段）里包含__interpose字段。__interpose字段包含原始的函数名和新的函数名。然后利用 DYLD_INSERT_ LIBRARIES 变量使用这个库，就可以打开注入功能了。

下面这段程序替换了 open() 和 close()。

// libinterposers.c #include <stdio.h> #include <unistd.h> #include <fcntl.h> typedef struct interpose_s { void *new_func; void *orig_func; } interpose_t; int my_open(const char *, int, mode_t); int my_close(int); static const interpose_t interposers[] / __attribute__ ((section("__DATA, __interpose"))) = { { (void *)my_open, (void *)open }, { (void *)my_close, (void *)close }, }; int my_open(const char *path, int flags, mode_t mode) { int ret = open(path, flags, mode); printf("--> %d = open(%s, %x, %x)/n", ret, path, flags, mode); return ret; } int my_close(int d) { int ret = close(d); printf("--> %d = close(%d)/n", ret, d); return ret; }

然后将代码编译成一个动态链接库，并利用变量 DYLD_INSERT_LIBRARIES 就可以达到目的了。

$ gcc -Wall -dynamiclib -o /tmp/libinterposers.dylib libinterposers.c $ DYLD_INSERT_LIBRARIES=/tmp/libinterposers.dylib cat /dev/null --> 9 = open(/dev/null, 0, 0) --> 0 = close(9)

参考：<<Mac OS Internals: A Systems Approch>>