iOS逆向之Mach-O文件（下）

Posted 2021-07-09 iOS大鑫

本文主要介绍Mach-O文件的内部结构的演示

Mach-O内部结构

因为MachO文件本身是一种文件格式，所以我们一定需要了解其文件内部结构。

Mach-O 的组成结构主要分为三部分

• Header 包含该二进制文件的一般信息

  • 字节顺序、架构类型、加载指令的数量等。
  • 使得可以快速确认一些信息，比如当前文件用于32位还是64位，对应的处理器是什么、文件类型是什么

• Load commands（加载命令） 一张包含很多内容的表

  • 内容包括区域的位置、符号表、动态符号表等。

• Data(数据) 通常是对象文件中最大的部分

  • 包含Segement的具体数据，首先是分段，然后段中`分节

终端命令：otool

在终端中，我们通过otool 查看Mach-O的一些指令

• 查看Mach-O的Header信息：otool -f 12-macho

MachOView软件

• 通过MachOView查看Mach-O文件

• 验证ARM_V7与ARM_V7s之间是否是分页？

  • ARM_V7与ARM_V7s的差值：16384+79376 - 98304 = -2544

  • ARM_V7的大小：-2544 - 79376 = - 81920，查看这个值是否是 pageSize（4096）的倍数

  • 是否是PAGESIZE的倍数：81920 / 4096 = 20(MacOS中)，但是由于是ios，所以 20 / 4 = 5页，说明是分页了，即按页对齐

两者对比

• otool与MachOView查看的Mach-O进行对比

MachOView演示

通过MachOView查看Mach-O结构，分为三部分：Header、Load Commands、Data

• 1、查看arm64下Mach-O的Header

• 2、查看Load Commands

  • VM Addr : 虚拟内存地址

  -VM Size： 虚拟内存大小，在运行时刻，在内存中的大小，4g

  • 64位地址：0x12345678a2345678
  • 32位地址：0x12345678
  • File offset: 数据在文件中偏移量
  • File size: 数据在文件中的大小

• 3、 Section中分为两大类：__TEXT（代码）、__DATA（数据）

1、Header的数据结构

• 在CMD+shift+O搜索loader.h,找到Mach_Header_64(arm64架构)的数据结构如下所示，与mach_header相比，只是多了一个reverse

<!--1、mach_header-->
struct mach_header {
    uint32_t    magic;      /* 魔数，快速定位属于64还是32位 */
    cpu_type_t  cputype;    /* CPU类型 */
    cpu_subtype_t   cpusubtype; /* CPU的具体类型 */
    uint32_t    filetype;   /* 文件类型，比如可执行文件 */
    uint32_t    ncmds;      /* Load Commands的条数 */
    uint32_t    sizeofcmds; /* Load Commands的大小 */
    uint32_t    flags;      /* 标志位标识二进制文件支持的功能，主要是和系统加载、链接有关 */
};

<!--2、mach_header_64-->
struct mach_header_64 {
    uint32_t    magic;      /* 魔数，快速定位属于64还是32位 */
    cpu_type_t  cputype;    /* CPU类型 */
    cpu_subtype_t   cpusubtype; /* CPU的具体类型 */
    uint32_t    filetype;   /* 文件类型，比如可执行文件 */
    uint32_t    ncmds;      /* Load Commands的条数 */
    uint32_t    sizeofcmds; /* Load Commands的大小 */
    uint32_t    flags;      /* 标志位标识二进制文件支持的功能，主要是和系统加载、链接有关 */
    uint32_t    reserved;   /* reserved */
};

• 2、查看filetype种类

  • OC文件：#define MH_OBJECT 0x1

  • 可执行文件：#define MH_EXECUTE 0x2

  • …

2、Load Commands

Load Commands中的相关字段含义如下所示

LoadCommands	说明
LC_SEGMENT_64	将文件中（32位或64位）的段映射到进程地址空间中，主要分为__TEXT、__DATA、LINKEDIT几大块
LC_DYLD_INFO_ONLY	动态链接相关信息
LC_SYMTAB	符号地址
DYSYMTAB	动态符号表地址
LC_LOAD_DYLINKER	使用谁加载，我们使用dyld
LC_UUID	Mach-O文件的唯一识别标识 UUID
LC_VERSION_MIN_MACOSX	支持最低的操作系统版本
LC_SOURCE_VERSION	源代码版本
LC_MAIN	设置程序主线程的入口地址和栈大小
LC_ENCRYPTION_INFO_64	加密信息
LC_LOAD_DYLIB	依赖库的路径，包含三方库
LC_FUNCTION_STARTS	函数起始地址表
LC_CODE_SIGNATURE	代码签名

演示

• 1、LC_SEGMENT_64中__TEXT、__DATA、LINKEDIT的对应关系如下图所示

• 2、查看LC_DYLD_INFO_ONLY动态链接信息

  其中Rebase是重定向，重定向过程简述如下：

  • 1）代码段放入Mach-O文件，在编译时期，会生成一个偏移地址

  • 2）在运行时期，mach-o文件放入虚拟内存，其内存也是随机变化的（由系统分配 - ASLR）

  • 3）所以之前的代码段在mach-O中偏移值就不性能使用了，需要通过ASLR + Rebase Info Offset重定向，主要改变的是汇编代码

• 3、查看LC_SYMTAB符号地址

• 4、查看LC_LOAD_DYLINKER，使用谁链接，这里使用的是dyld

• 6、查看LC_UUID，mach-o文件识别的唯一标识

• 7、查看LC_VERSION_MIN_MACOSX，支持的最低版本信息

• 8、查看LC_SOURCE_VERSION，代码版本

• 9、查看LC_MAIN，入口函数

  • 作用：用于逆向时找不到切入点时（例如：做了防护，运行就闪退），可以从这里找到

• 10、查看LC_ENCRYPTION_INFO_64，此时 Crypt ID为0，表示还没有加密

3、Data

• 1、如果我们想快速定位代码段，需要通过LC_SEGMENT_64(__TEXT)中的VM Adress

• 2、查看 代码段的起始位置

  也可以通过objdump命令来查看:objdump --macho -d 12-macho

  从这里看出，正好与Mach-O文件中的对应

• 3、查看stub、stub_helper：主要是用于符号绑定，这里的 0x1000065d4 全是指向的 000325D4偏移，且前面6句汇编都是在做 符号绑定

• 4、查看外部符号表（即 调用外部函数，只有在运行时才绑定），有两个：懒加载、非懒加载

  这里是先绑定专门用来绑定外部的函数，在用这个函数去绑定其他函数

总结

作为一个开发者，有一个学习的氛围跟一个交流圈子特别重要，这是一个我的iOS开发交流群：130 595 548，不管你是小白还是大牛都欢迎入驻 ，让我们一起进步，共同发展！（群内会免费提供一些群主收藏的免费学习书籍资料以及整理好的几百道面试题和答案文档！）

• Mach-O内部结构

  • Header：用于快速确定该文件的CPU类型、文件类型

  • Load Commands：指示加载器如何设置并加载二进制数据

  • Data：存放数据，例如代码、数据、字符串常量、类、方法等，

    • Section中分为两大类：__TEXT（代码）、__DATA（数据）

• 可以通过otool命令查看Mach-O信息，例如查看Header信息：otool -f 12-macho

• 可以通过objdump命令来查看代码段:objdump --macho -d 12-macho