ios逆向 - fishhook 的原理分析

一 知识预备

1: 静态库和动态库

我们自己写的代码,会调用很多外部的库,包括静态库,动态库

问题来了,动态库和静态库直接的区别是啥?

  • 静态库:链接时,静态库会被完整地复制到可执行文件中,【每个项目只要使用就要拷贝一份】
  • 动态库:链接时不复制,应用在实际需要的时候【运行的时候】由系统动态加载一段代码到它的地址空间中的库,提供程序调用,系统只加载一次,多个程序共用,节省内存


    image.png

    注意:Framework既有动态库,也有静态库
    从上面的可以知道,iOS SDK 是显然是动态库类型,因为所有的app 都要使用这些接口,不可能每一个app都要拷贝一份

2: 如何加载这些动态库?

静态库,在编译链接时期就会加到可执行文件中
动态库在可执行文件中只体现了两个地方

  • import 导入动态库,编译器在预编译阶段就给出了动态库的加载地址,就是高数到什么地方去加载这个动态库
  • 调用的函数名,尽管我们不知道函数的具体实现

加载这些动态库,用到了动态链接
什么是动态链接?
动态链接,在可执行文件装载时或运行时,由操作系统的装载程序加载库到内存。然后对加载后的地址更新到可执行文件中【这就是链接】,大多数操作系统将解析外部引用(比如库)作为加载过程的一部分。
一句话: 动态:就是需要的时候加载,链接:加载后的内存地址更新到可执行文件中

具体链接操作: 可执行文件包含一个叫做import directory(输入表)的表,该表的每一项包含一个库的名字。根据表中记录的名字,装载程序在硬盘上搜索需要的库,然后将其加载到内存中预先不确定的位置,之后根据加载库后确定的库的地址更新可执行程序,可执行程序根据更新后的库信息调用库中的函数或引用库中的数据

动态库有两种加载方式:

  • 隐式调用【加载时动态链接】
  • 显示调用【运行时动态链接】
    以Windows 举例:

  • 加载时动态链接 :
    就是说你的代码里面已经直接调用了库里面的函数,那么在link的时候会把该库的一小段lib link进去,这里面包含了这个DLL的相关信息以便在真正运行时能找到那个dll。然后当你exe运行时,windows就会根据那些信息把需要用到的dll载入内存。【1:保证a.dll和a.lib两个文件都有 2:将要调用的函数的声明和下面的语句写到一个头文件中 #pragma comment(lib, "a.lib") 】
  • 运行时动态链接:
    在编译以及link的时候是并不需要提供这个库的信息的。在程序真正运行的时候,通过自己调用LoadLibrary,GetProcAddress等API手工把DLL载入内存并找到里面的函数来调用。

现在系统很少在运行时动态链接,成本太高,一般都是程序员自身需要
上面说这么多,就是为了理解动态链接这个概念,下面开始我们的主要内容

二 fishhook 的原理

1:什么是fishhook?

fishhook就是一个动态修改macho文件链接的工具

2:fishhook原理是啥?

它利用mach-o动态库的加载原理【动态链接原理】,通过修改懒加载和非懒加载表中的指针达到hook 的需求

3:具体分析fishhook的hook原理

在此之前,先问两个问题:

  • 谁加载了mach-o文件和动态库?
    程序启动时,mach-o文件是被dyld(动态链接/加载器)加载进内存,加载完成后, dyld接着会动态加载所依赖的库
  • 什么是ASLR技术
    地址空间布局随机化,就是每次程序加载的内存地址不一样

ASLR技术同时也让动态库每次加载的内存地址不一样,我们程序mach-o文件里只有我们自己写的函数,系统的动态库的函数是不在 Mach-O 文件里的。也就是说每次启动从 Mach-O 文件到系统动态库函数的偏移地址都是变化的

问题1: Mach-o文件如何找到系统动态库的内存地址?也就是如何找到系统函数的地址?或者说Mach-O 文件是如何链接外部函数的呢?

苹果为了能在 Mach-O 文件中访问外部函数,采用了一个技术,叫做PIC(位置代码独立)技术
当我们的程序想调用外部函数时,或者想调用系统函数时,PIC会做两件事情:

  • 先在Mach-o 文件的_DATA 段懒加载符号表或者懒加载符号表中定义一个8byte的大小,全部填入0 的指针变量,这个位置只是预留的,调用函数的汇编的地址会指向 _DATA 段中的这个指针变量
  • Dyld动态绑定完成后更新为外部函数的真实地址,即这个Mach-O 中的 _DATA 段中的指针变量,指向外部函数

注意:C在内部函数的时候是静态的,在编译后,函数的内存地址就确定了。但是,外部的函数是不能确定的,也就是说C的底层也有动态的。fishhook 之所以能 hook C函数,是利用了 Mach-O 文件的 PIC 技术特点。也就造就了静态语言C也有动态的部分,通过 DYLD 进行动态绑定的时候做了手脚。

fishhook的原理其实就是,将指向系统方法(外部函数)的指针【_DATA 段中建立的】重新进行绑定指向内部的函数。这样就把系统方法与自己定义的方法进行了交换。这也就是为什么C的内部函数(比如自定义的c函数)修改不了,自定义的函数修改不了,只能修改 Mach-O 外部的函数。

接下来我们以 NSLog 为例,看 fishhook 是如何通过修改懒加载和非懒加载两个表的指针达到C函数HOOK的目的。(NSLog 是在懒加载表里)
可执行文件里有重定向指针表,
分为普通表和lazy表或got表等等,表中是一系列符号的指针。

  • 普通表是在程序刚加载时进行符号连接,并填入真实地址。
  • lazy表是在此符号第一次调用时进行连接,lazy表中默认值是指向一段stub,stub根据给定的信息(这个信息帮助linker找到这个符号的相关信息)调用linker的相关功能来进行连接,这之后表中的值就是此符号的真实值,下次调用就直接使用。

总结:对于非懒加载符号指针表(普通表),DYLD会立刻马上去链接动态库
   对于懒加载符号指针表(lazy表),DYLD会在执行代码的时候去动态的链接动态库

- (void)viewDidLoad {
    [super viewDidLoad];
    // Do any additional setup after loading the view, typically from a nib.
    //这里必须要先加载一次NSLog,如果不写NSLog,符号表里面根本就不会出现NSLog的地址,
    NSLog(@"123"); 

    //定义rebinding结构体
    struct rebinding nslogBind;
    //函数的名称
    nslogBind.name = "NSLog";
    //新的函数地址
    nslogBind.replacement = myMethod;
    //保存原始函数地址变量的指针
    nslogBind.replaced = (void *)&old_nslog;
    
    //定义数组
    struct rebinding rebs[] = {nslogBind};
    
    /**
     arg1: 存放rebinding结构体的数组
     arg2: 数组的长度
     */
    rebind_symbols(rebs, 1);
}

//函数指针,用来保存原始的函数地址
static void (*old_nslog)(NSString *format, ...);

//新的NSLog
void myMethod(NSString *format, ...) {
    //再调用原来的
    old_nslog(@"勾上了!");
}

- (void)touchesBegan:(NSSet<UITouch *> *)touches withEvent:(UIEvent *)event {
    NSLog(@"点击屏幕");
}

首先,系统的 NSLog 是在rebind_symbols(rebs, 1)方法里替换的,我们可以在这个方法上打个断点。
我们可以先看一下,这个函数执行之前,NSLog 在懒加载符号表中的地址是多少,然后在执行之后,它有没有变成我们自己的符号表的地址
那么,我们如何找到 NSLog 的符号表呢?公式如下:
NSLog 懒加载符号表在内存中的地址 = 程序加载后的基址 + NSLog 懒加载符号表在 Mach-O 的偏移地址
查看函数的在符号表的偏移地址

函数在符号表中的偏移地址

查看程序的基址地址
程序基址

通过上面的公式计算,拿到符号表中指针变量的真实地址
符号表中的指针变量的地址

将该指针变量存储的地址拿出来就是外部函数真实地址。也就是我们要替换的地址

这个真实的函数地址是什么时候保存进去的呢?并程序加载进内存的时候填入的。由于 NSLog 在懒加载符号表里面,所有它是在整个 Mach-O 文件启动之后,代码第一次运行 NSLog 时,由 DYLD 绑定该 NSLog 符号指向真实的 NSLog 的地址,即DYLD 在加载动态库的时候,肯定知道了库的基址,同时也就知道库中函数的地址,然后更新到我们的程序中栏加载符号表的指针变量里

这个时候,我们需要通过反汇编看一下地址的值


image.png

可以看到,这个时候 Mach-O 文件的 _DATA 段中建立的指针已经指向了外部函数。在编译完成后我们已经拿到了myMethod 的地址,使用fishhook时,我们会将该新函数的地址传入, nslogBind.replacement = myMethod;进行重新绑定

紧接着单步执行,执行完 rebind_symbols(rebs, 1); 函数
这个时候我们再看一下符号表绑定的地址,我们发现地址已经发生了变化


image.png

再次通过反汇编看一下地址的值


更改链接地址后

发现在我们程序mach-o文件里的 _DATA 段中建立的指针已经指向了我们自己定义的内部函数。

推荐阅读更多精彩内容