05-初始Mach-O

01-APP的生命周期

1.1 APP从开发到安装到手机的过程

• MJRefreshExample.app 中的 MJRefreshExample 文件是iOS中的可执行文件，文件格式是 Mach-O

02-逆向APP的思路

2.1 界面分析

• Cycript、Reveal

2.2 代码分析

• 对Mach-O文件的静态分析
• MachOView、class-dump、Hopper Disassembler、ida等

2.3 动态调试

• 对运行中的APP进行代码调试
• debugserver、LLDB

2.4 代码编写

• 注入代码到APP中
• 必要时还可能需要重新签名、打包ipa

03-class-dump

• 顾名思义，它的作用就是把 Mach-O 文件的 class 信息给 dump 出来（把类信息给导出来），生成对应的.h头文件

• 官方地址

• 下载完工具包后将 class-dump 文件复制到Mac的 /usr/local/bin 目录，这样在终端就能识别 class-dump 命令了

• 常用格式

  class-dump  -H  Mach-O文件路径  -o  头文件存放目录
  

• -H 表示要生成头文件

• -o 用于制定头文件的存放目录

04-Hopper Disassmbler

4.1 代码的编译过程

• 不同的OC代码，编译出来的汇编代码可能是一样的
  

4.2 Hopper Disassmbler

• Hopper Disassembler能够将Mach-O文件的机器语言代码反编译成汇编代码、OC伪代码或者Swift伪代码

• 常用快捷键

  • Shift + Option + X
    • 找出哪里引用了这个方法

05-系统的动态库

5.1 动态库共享缓存（dyld shared cache）

• 从iOS3.1开始，为了提高性能，绝大部分的系统动态库文件都打包存放到了一个缓存文件中（dyld shared cache）

• 缓存文件路径：/System/Library/Caches/com.apple.dyld/dyld_shared_cache_armX

• dyld_shared_cache_armX 的 X 代表 ARM 处理器指令集架构

  • v6
    iPhone、iPhone3G
    iPod Touch、iPod Touch2

  • v7
    iPhone3GS、iPhone4、iPhone4S
    iPad、iPad2、iPad3(The New iPad)
    iPad mini
    iPod Touch3G、iPod Touch4、iPod Touch5

  • v7s
    iPhone5、iPhone5C
    iPad4

  • arm64
    iPhone5S、iPhone6、iPhone6 Plus、iPhone6S、iPhone6S Plus
    iPhoneSE、iPhone7、iPhone7 Plus、iPhone8、iPhone8 Plus、iPhoneX
    iPad5、iPad Air、iPad Air2、iPad Pro、iPad Pro2
    iPad mini with Retina display、iPad mini3、iPad mini4
    iPod Touch6

• 所有指令集原则上都是向下兼容的

• 动态库共享缓存一个非常明显的好处是节省内存

• 现在的ida、Hopper反编译工具都可以识别动态库共享缓存

5.2 动态库使用展示

• 之前动态库的使用
  

• 现在动态库的使用
  

5.3 动态库的加载

在 Mac\iOS 中，是使用了 /usr/lib/dyld 程序来加载动态库

• dyld

  • dynamic link editor，动态链接编辑器
  • dynamic loader，动态加载器

• dyld源码

  • 选择最新的源码
    

5.4 从动态库共享缓存抽取动态库

可以使用dyld源码中的launch-cache/dsc_extractor.cpp

• 将 #if 0 前面的代码删除（包括#if 0），把最后面的 #endif 也删掉

• 编译 dsc_extractor.cpp

  clang++ -o dsc_extractor dsc_extractor.cpp
  

• 使用 dsc_extractor

  ./dsc_extractor  动态库共享缓存文件的路径   用于存放抽取结果的文件夹
  

06-Mach-O

6.1 Mach-O介绍

• Mach-O 是 Mach object 的缩写，是 Mac\iOS 上用于存储程序、库的标准格式

• 属于Mach-O格式的文件类型有
  

• 可以在 xnu 源码中，查看到 Mach-O 格式的详细定义（https://opensource.apple.com/tarballs/xnu/）

• EXTERNAL_HEADERS/mach-o/fat.h

• EXTERNAL_HEADERS/mach-o/loader.h

6.2 常见的Mach-O文件类型

• MH_OBJECT

  • 目标文件（.o）
  • 静态库文件(.a），静态库其实就是N个.o合并在一起

• MH_EXECUTE：可执行文件

  • .app/xx

• MH_DYLIB：动态库文件

  • .dylib
  • .framework/xx

• MH_DYLINKER：动态链接编辑器

  • /usr/lib/dyld

• MH_DSYM：存储着二进制文件符号信息的文件

  • .dSYM/Contents/Resources/DWARF/xx（常用于分析APP的崩溃信息）

6.3 在Xcode中查看target的Mach-O类型

6.4 Mach-O的基本结构

6.4.1 官方描述

• https://developer.apple.com/library/content/documentation/DeveloperTools/Conceptual/MachOTopics/0-Introduction/introduction.html

6.4.2 一个Mach-O文件包含3个主要区域

• Header

  • 文件类型、目标架构类型等

• Load commands

  • 描述文件在虚拟内存中的逻辑结构、布局

• Raw segment data

  • 在 Load commands 中定义的 Segment 的原始数据

6.5 窥探Mach-O的结构

6.5.1 命令行工具

• file ：查看Mach-O的文件类型

  • file 文件路径

• otool：查看 Mach-O 特定部分和段的内容

• lipo：常用于多架构Mach-O文件的处理

  • 查看架构信息：

  lipo  -info  文件路径
  

  • 导出某种特定架构：

  lipo  文件路径  -thin  架构类型  -output  输出文件路径
  

  • 合并多种架构：

  lipo  文件路径1  文件路径2  -output  输出文件路径
  

6.5.2 GUI工具

• MachOView

6.6 Universal Binary（通用二进制文件）

• 通用二进制文件

  • 同时适用于多种架构的二进制文件
  • 包含了多种不同架构的独立的二进制文件

• 因为需要储存多种架构的代码，通用二进制文件通常比单一平台二进制的程序要大

• 由于两种架构有共同的一些资源，所以并不会达到单一版本的两倍之多

• 由于执行过程中，只调用一部分代码，运行起来也不需要额外的内存

• 因为文件比原来的要大，也被称为“胖二进制文件”（Fat Binary）

6.7 dyld 和 Mach-O

• dyld 用于加载以下类型的 Mach-O 文件

  • MH_EXECUTE
  • MH_DYLIB
  • MH_BUNDLE

• APP的可执行文件、动态库都是由dyld负责加载的