iOS逆向 12:Mach-O文件(下)

iOS 底层原理 + 逆向 文章汇总

本文主要介绍Mach-O文件的内部结构的演示

Mach-O文件结构

下面更多的是Mach-O的结构演示,更多的Mach-O介绍可以查看iOS-底层原理 32:启动优化(一)基本概念,这里并不详细讲解

Mach-O内部结构

因为MachO文件本身是一种文件格式,所以我们一定需要了解其文件内部结构。其内部结果如下图所示:


image

Mach-O 的组成结构主要分为三部分

  • Header 包含该二进制文件的一般信息

    • 字节顺序、架构类型、加载指令的数量等。
    • 使得可以快速确认一些信息,比如当前文件用于32位还是64位,对应的处理器是什么、文件类型是什么
  • Load commands(加载命令) 一张包含很多内容的表

    • 内容包括区域的位置、符号表、动态符号表等。
  • Data(数据) 通常是对象文件中最大的部分

    • 包含Segement的具体数据,首先是分段,然后段中`分节

终端命令:otool

在终端中,我们通过otool 查看Mach-O的一些指令

image

  • 查看Mach-O的Header信息:otool -f 12-macho
    image

MachOView软件

  • 通过MachOView查看Mach-O文件
    image
  • 验证ARM_V7与ARM_V7s之间是否是分页?


    image
    • ARM_V7与ARM_V7s的差值:16384+79376 - 98304 = -2544

    • ARM_V7的大小:-2544 - 79376 = - 81920,查看这个值是否是 pageSize(4096)的倍数

    • 是否是PAGESIZE的倍数:81920 / 4096 = 20(MacOS中),但是由于是iOS,所以 20 / 4 = 5页,说明是分页了,即按页对齐

两者对比

  • otool与MachOView查看的Mach-O进行对比


    image

MachOView演示

通过MachOView查看Mach-O结构,分为三部分:HeaderLoad CommandsData

image

  • 1、查看arm64下Mach-O的Header

    image

  • 2、查看Load Commands

    image

    • VM Addr : 虚拟内存地址

    -VM Size: 虚拟内存大小,在运行时刻,在内存中的大小,4g
    - 64位地址:0x12345678a2345678
    - 32位地址:0x12345678

    • File offset: 数据在文件中偏移量
    • File size: 数据在文件中的大小
  • 3、 Section中分为两大类:__TEXT(代码)、__DATA(数据)

1、Header的数据结构

  • CMD+shift+O搜索loader.h,找到Mach_Header_64(arm64架构)的数据结构如下所示,与mach_header相比,只是多了一个reverse
<!--1、mach_header-->
struct mach_header {
    uint32_t    magic;      /* 魔数,快速定位属于64还是32位 */
    cpu_type_t  cputype;    /* CPU类型 */
    cpu_subtype_t   cpusubtype; /* CPU的具体类型 */
    uint32_t    filetype;   /* 文件类型,比如可执行文件 */
    uint32_t    ncmds;      /* Load Commands的条数 */
    uint32_t    sizeofcmds; /* Load Commands的大小 */
    uint32_t    flags;      /* 标志位标识二进制文件支持的功能,主要是和系统加载、链接有关 */
};

<!--2、mach_header_64-->
struct mach_header_64 {
    uint32_t    magic;      /* 魔数,快速定位属于64还是32位 */
    cpu_type_t  cputype;    /* CPU类型 */
    cpu_subtype_t   cpusubtype; /* CPU的具体类型 */
    uint32_t    filetype;   /* 文件类型,比如可执行文件 */
    uint32_t    ncmds;      /* Load Commands的条数 */
    uint32_t    sizeofcmds; /* Load Commands的大小 */
    uint32_t    flags;      /* 标志位标识二进制文件支持的功能,主要是和系统加载、链接有关 */
    uint32_t    reserved;   /* reserved */
};
  • 2、查看filetype种类
    • OC文件:#define MH_OBJECT 0x1

    • 可执行文件:#define MH_EXECUTE 0x2

    • ...

2、Load Commands

Load Commands中的相关字段含义如下所示

LoadCommands 说明
LC_SEGMENT_64 将文件中(32位或64位)的段映射到进程地址空间中,主要分为__TEXT、__DATA、LINKEDIT几大块
LC_DYLD_INFO_ONLY 动态链接相关信息
LC_SYMTAB 符号地址
DYSYMTAB 动态符号表地址
LC_LOAD_DYLINKER 使用谁加载,我们使用dyld
LC_UUID Mach-O文件的唯一识别标识 UUID
LC_VERSION_MIN_MACOSX 支持最低的操作系统版本
LC_SOURCE_VERSION 源代码版本
LC_MAIN 设置程序主线程的入口地址和栈大小
LC_ENCRYPTION_INFO_64 加密信息
LC_LOAD_DYLIB 依赖库的路径,包含三方库
LC_FUNCTION_STARTS 函数起始地址表
LC_CODE_SIGNATURE 代码签名

演示

  • 1、LC_SEGMENT_64__TEXT、__DATA、LINKEDIT的对应关系如下图所示

    image

  • 2、查看LC_DYLD_INFO_ONLY动态链接信息

    image

    其中Rebase是重定向,重定向过程简述如下:
    image

    • 1)代码段放入Mach-O文件,在编译时期,会生成一个偏移地址

    • 2)在运行时期,mach-o文件放入虚拟内存,其内存也是随机变化的(由系统分配 - ASLR)

    • 3)所以之前的代码段在mach-O中偏移值就不性能使用了,需要通过ASLR + Rebase Info Offset重定向,主要改变的是汇编代码

  • 3、查看LC_SYMTAB符号地址

    image

  • 4、查看LC_LOAD_DYLINKER,使用谁链接,这里使用的是dyld

    image

  • 6、查看LC_UUID,mach-o文件识别的唯一标识

    image

  • 7、查看LC_VERSION_MIN_MACOSX,支持的最低版本信息

    image

  • 8、查看LC_SOURCE_VERSION,代码版本

    image

  • 9、查看LC_MAIN,入口函数

    image

    • 作用:用于逆向时找不到切入点时(例如:做了防护,运行就闪退),可以从这里找到
  • 10、查看LC_ENCRYPTION_INFO_64,此时 Crypt ID0,表示还没有加密

    image

3、Data

  • 1、如果我们想快速定位代码段,需要通过LC_SEGMENT_64(__TEXT)中的VM Adress

    image

  • 2、查看 代码段起始位置

    image

    也可以通过objdump命令来查看:objdump --macho -d 12-macho
    image

    从这里看出,正好与Mach-O文件中的对应

  • 3、查看stub、stub_helper:主要是用于符号绑定,这里的 0x1000065d4 全是指向的 000325D4偏移,且前面6句汇编都是在做 符号绑定

    image

  • 4、查看外部符号表(即 调用外部函数,只有在运行时才绑定),有两个:懒加载、非懒加载

    image

    这里是先绑定专门用来绑定外部的函数,在用这个函数去绑定其他函数

总结

  • Mach-O内部结构

    • Header:用于快速确定该文件的CPU类型、文件类型

    • Load Commands:指示加载器如何设置并加载二进制数据

    • Data:存放数据,例如代码、数据、字符串常量、类、方法等,

      • Section中分为两大类:__TEXT(代码)、__DATA(数据)
  • 可以通过otool命令查看Mach-O信息,例如查看Header信息:otool -f 12-macho

  • 可以通过objdump命令来查看代码段:objdump --macho -d 12-macho

推荐阅读更多精彩内容

  • UIKit的Mach-O文件在哪里?? 系统的动态库 从iOS3.1开始,为了提高性能,绝大部分的系统动态库文件都...
    Rathen阅读 1,165评论 0 2
  • Mach-O文件 Mach-O是Mach Object文件格式的缩写,是mac以及iOS上可执行文件的格式,例如当...
    YanZi_33阅读 250评论 0 1
  • 摘录:其字德安「Mach-O文件结构」(以此记录一下) iOS上的可执行文件相当于windows上的.exe可执行...
    NJ_墨阅读 869评论 0 2
  • 上一篇说到源码经过预处理、编译、汇编之后生成目标文件,这一章介绍一下iOS、Mac OS中目标文件的格式Mach-...
    Tenloye阅读 1,392评论 2 9
  • 我是黑夜里大雨纷飞的人啊 1 “又到一年六月,有人笑有人哭,有人欢乐有人忧愁,有人惊喜有人失落,有的觉得收获满满有...
    陌忘宇阅读 7,215评论 28 52
  • 信任包括信任自己和信任他人 很多时候,很多事情,失败、遗憾、错过,源于不自信,不信任他人 觉得自己做不成,别人做不...
    吴氵晃阅读 5,612评论 4 8
  • 怎么对待生活,它也会怎么对你 人都是哭着来到这个美丽的人间。每个人从来到尘寰到升入天堂,整个生命的历程都是一本书,...
    静静在等你阅读 4,553评论 1 6