iOS开发 HOOK 上篇之 fishhook

一 HOOK之Method Swizzle

利用OC的Runtime特性，动态改变SEL（方法编号）和IMP（方法实现）的对应关系，达到OC方法调用流程改变的目的。主要用于OC方法。

#import <objc/message.h>
+(void)hookClass:(Class )class Withmethod:(SEL)oldMethod newMethod:(SEL)newMethod
{
    Method old = class_getInstanceMethod(class, oldMethod);
    Method news = class_getInstanceMethod(class, newMethod);
    method_exchangeImplementations(old, news);
}
 //交换方法
    [hookManager hookClass:self.class Withmethod:@selector(old) newMethod:@selector(news)];
    //类方法
[hookManager hookClass:object_getClass(self.class) Withmethod:@selector(classOld) newMethod:@selector(classNew)];

二 HOOK之 fishhook

Facebook提供的一个动态修改链接mach-O文件的工具。利用MachO文件加载原理，原理是通过修改懒加载和非懒加载两个表的指针达到C函数HOOK的目的,所以不能修改自己定义的函数，只能修改系统库函数。

1. 简单使用

#import "fishhook.h"
- (void)viewDidLoad {
    [super viewDidLoad];
    NSLog(@"123");
    //定义rebinding结构体
/*
struct rebinding {
  const char *name;//需要HOOK的函数名称,字符串
  void *replacement;//替换到那个新的函数上(函数指针,也就是函数的名称)
  void **replaced;//保存原始函数指针变量的指针(它是一个二级指针!)
};
*/
    struct rebinding nslogBind;
    //函数的名称
    nslogBind.name = "NSLog";
    //新的函数地址
    nslogBind.replacement = myNSLog;
    //保存原始函数地址的变量的指针
    nslogBind.replaced = (void *)&old_nslog;
    //定义数组
    struct rebinding rebs[] = {nslogBind};
    /*
     arg1 : 存放rebinding结构体的数组
     arg2 : 数组的长度
     */
    rebind_symbols(rebs, 1);
}
//函数指针,用保存原始的函数的地址
static void (*old_nslog)(NSString *format, ...);
//新的NSLog
void myNSLog(NSString *format, ...){
    format = [format stringByAppendingString:@"\n勾上了!"];
    //再调用原来的
    old_nslog(format); 
}
- (void)touchesBegan:(NSSet<UITouch *> *)touches withEvent:(UIEvent *)event {
    NSLog(@"点击了屏幕!!");   
}

2. 原理

• APP运行时，MachO被dyld加载进内存
• ASLR让MachO被加载时内存地址随机分配
• 苹果的PIC位置与代码独立技术，让MachO调用系统库函数时，先在MachO表中的_DATA段建立一个指针指向外部库函数，dyld加载MachO时知道外部库函数的调用地址，会动态的把_DATA段的指针指向外部库函数
• fishhook通过nslogBind.name = "NSLog" 就能替换库函数，是因为MachO的符号表里有NSLog等，可以通过符号表找到NSLog字符串

3. 原理求证

• 在 rebind_symbols(rebs, 1);处打个断点，进入包内容，找到MachO可执行文件，用MachOView打开找到懒加载和非懒加载两个表，如下：

  
  1.png
  

  得到NSLog的偏移量为0x8018

• 断点断住后，用lldb输入image list得到如下：

(lldb) image list
[  0] 48743862-C387-35A9-AC9E-973B65CCE0F4 0x0000000100688000 /Users/mac/Library/Developer/Xcode/DerivedData/001--fishHookDemo-gwgiujnhvjhvlsfgctoolqctiwnc/Build/Products/Debug-iphoneos/001--fishHookDemo.app/001--fishHookDemo

即MachO文件的起始地址是0x0000000100688000，那么NSLog的地址是0x8018+0x0000000100688000

• lldb调试读取NSLog地址的内存

(lldb) x 0x0000000100688000+0x8018  //memory read 0x0000000100688000+0x8018
0x100690018: 80 a6 4d 85 01 00 00 00 a8 61 4d 85 01 00 00 00  ..M......aM.....
0x100690028: a0 56 9f 8e 01 00 00 00 64 eb 68 00 01 00 00 00  .V......d.h.....

• 得到内容为0x01854da680,然后再dis -s 0x01854da680 输出如下：

Foundation`NSLog:
    0x1854da680 <+0>:  sub    sp, sp, #0x20             ; =0x20 
    0x1854da684 <+4>:  stp    x29, x30, [sp, #0x10]
    0x1854da688 <+8>:  add    x29, sp, #0x10            ; =0x10 
    0x1854da68c <+12>: add    x8, x29, #0x10            ; =0x10 
    0x1854da690 <+16>: str    x8, [sp, #0x8]
    0x1854da694 <+20>: add    x1, x29, #0x10            ; =0x10 
    0x1854da698 <+24>: mov    x2, x30
    0x1854da69c <+28>: bl     0x18557bc68               ; _NSLogv

• 过了断点后再x 0x0000000100688000+0x8018 得到如下：

0x100690018: c8 dd 68 00 01 00 00 00 a8 61 4d 85 01 00 00 00  ..h......aM.....
0x100690028: a0 56 9f 8e 01 00 00 00 d8 7d 55 84 01 00 00 00  .V.......}U.....

得到地址0x010068ddc8,然后dis -s 0x010068ddc8 得到：

001--fishHookDemo`myNSLog:
    0x10068ddc8 <+0>:  sub    sp, sp, #0x30             ; =0x30 
    0x10068ddcc <+4>:  stp    x29, x30, [sp, #0x20]
    0x10068ddd0 <+8>:  add    x29, sp, #0x20            ; =0x20 
    0x10068ddd4 <+12>: mov    x8, #0x0
    0x10068ddd8 <+16>: stur   x8, [x29, #-0x8]
    0x10068dddc <+20>: sub    x9, x29, #0x8             ; =0x8 
    0x10068dde0 <+24>: str    x0, [sp, #0x10]
    0x10068dde4 <+28>: mov    x0, x9

即NSLog被myNSLog替换了

4. 通过符号表，查找字符串

• MachO的Dynamic Symbol Table下的Indirect Symbols表和 Lazy Symbol Pointers表一一对应

  
  2.png

• _NSLog的Data 0x7A 是Symbols表的下标，0x7A的十进制是122，那么找到Symbols表的#122位置处：

  
  3.png

• 得到_NSLog在字符串表的偏移量是0x9B，然后字符串表,表的起始地址是0xCEFC,加上偏移量0x9B得到0xcf97,在表中找到0xcf97果然找到NSLlog

  
  4.png

总过程如图

image

三 基本防护

因为文件加载的顺序，防护代码写在framework中的load函数中，因为framework中的load函数会被先调用，从而起到防护作用
文件加载顺序：framework中的load -> ViewController的load ->AppDelegate的load

1.png

基本防护代码：

#import "fishhook.h"
#import <objc/message.h>

@implementation hookMgr
//专门HOOK
+(void)load
{
    //内部用到的交换代码 写在这里
    Method old = class_getInstanceMethod(objc_getClass("ViewController"), @selector(btnClick1:));
    Method new = class_getInstanceMethod(self, @selector(click1Hook:));
    method_exchangeImplementations(old, new);
    //基本防护 会检测到外部的hook
    struct rebinding bd;
    bd.name = "method_exchangeImplementations";
    bd.replacement = myExchang;
    bd.replaced = (void *)&exchangeP; 
    struct rebinding bd2;
    bd2.name = "method_setImplementation";
    bd2.replacement = myExchang;
    bd2.replaced = (void *)&setIMP;
    
//    method_setImplementation
    
    struct rebinding rebindings[] = {bd,bd2};
    rebind_symbols(rebindings, 2);
}

//保留原来的交换函数
IMP _Nonnull (*setIMP)(Method _Nonnull m, IMP _Nonnull imp);
void (*exchangeP)(Method _Nonnull m1, Method _Nonnull m2);

//新的函数
void myExchang(Method _Nonnull m1, Method _Nonnull m2){
    NSLog(@"检测到了HOOK!!!");
    //强制退出!
    exit(1);
}
-(void)click1Hook:(id)sendr{
    NSLog(@"原来APP的HOOK保留!!");
}