iOS逆向：Mach-O
目录
一，APP从开发到安装的过程
二，class-dump
三，Hopper Disassembler
四，动态库共享缓存
五，Mach-O文件类型
六，Mach-O基本结构
一，APP从开发到安装的过程
1，打包
- 图解
- 说明
1>代码会被编译为可执行文件
2>可执行文件的格式为Mach-O
2，安装
- 图解
- 说明
1>有证书才能安装
2>手机版本不低于目标版本才能安装
二，class-dump
1，介绍
-
它能够导出
Mach-O文件中所有的.h文件
2，使用
- 将
class-dump可执行文件添加到Mac的/usr/local/bin目录下
- 用爱思助手安装APP
- 在下载中心中找到
ipa文件并解压
- 在包内容中找到
Mach-O文件并拷贝到桌面上
- 用
class-dump导出.h文件：class-dump -H [Mach-O文件路径] -o [.h文件存放路径]
1>从App Store下载的是经过加密的，暂时无法导出（需要先脱壳）
2>自己打的包没有加密，可以导出
三，Hopper Disassembler
1，代码编译过程
- 图解
- 说明
1>
Mach-O文件中的是机器代码
2>汇编代码和机器代码是一一对应的，所以机器代码能够完全反编译为汇编代码
3>不同的OC代码编译出来的汇编代码可能是一样的，所以汇编代码不能完全反编译为OC代码
2，Hopper工具
- 介绍
1>它能将
Mach-O文件的机器代码反编译为汇编代码和OC伪代码
2>下载地址：http://www.sdifen.com/hopperdisassembler408.html
- 使用
1>将
Mach-O文件拖入其中并选择arm64
2>从App Store下载的是经过加密的，基本无法阅读（需要先脱壳）
3>自己打的包没有加密，可以阅读
4>机器代码，汇编代码，OC伪代码
四，动态库共享缓存
1，动态库存放位置
-
/System/Library/Frameworks中只有动态库的描述文件
- 动态库的
Mach-O文件存放在/System/Library/Caches/com.apple.dyld中的共享缓存文件里
- 共享缓存文件是所有APP共用的，这样能够节省内存开销
- ARM处理器指令集架构
1>四种架构：
armv6，armv7，armv7s，arm64
2>从iPhone5s开始使用arm64架构
3>架构具有向下兼容的特性
2，动态库加载
- 我们传的是
/System/Library/Frameworks路径，系统是如何加载共享缓存文件中动态库的
- 系统是利用
/usr/lib目录下dyld程序来加载的
-
dyld是dynamic link editor（动态链接编辑器）的缩写（源码地址：https://opensource.apple.com/tarballs/dyld）
3，动态库提取
- Hopper能够识别共享缓存文件，将
dyld_shared_cache_arm64从iPhone中导出，然后拖入其中
- 手动从共享缓存文件中提取动态库
1>将
dsc_extractor.cpp文件中#if 0上面的代码和#endif注释掉
2>进入
dsc_extractor.cpp文件所在的目录，执行：clang++ -o dsc_extractor dsc_extractor.cpp，会生成一个可执行文件
3>将可执行文件和
dyld_shared_cache_arm64文件放入同一个目录下，进入该目录执行：./dsc_extractor dyld_shared_cache_arm64 arm64
4>抽取
arm64报错，因为从Xcode10开始不能使用dsc_extractor.bundle，但不影响armv7s
五，Mach-O文件类型
1，介绍
-
Mach-O是Mach Object的缩写，它是Mac和iOS系统上多种文件的存储格式 -
所有
Mach-O格式的文件类型（源码地址：https://opensource.apple.com/tarballs/xnu）
- 在Xcode中查看
target的Mach-O类型（一般无需修改）
2，常见文件类型
MH_OBJECT
1>目标文件（
.o）
2>静态库（
.a）
-
MH_EXECUTE：可执行文件
-
MH_DYLIB：动态库
1>
.dylib
2>
.framework
-
MH_DYLINKER：动态链接编辑器
-
MH_DSYM：符号信息文件（.dSYM）
3，dyld用于加载以下文件
-
MH_EXECUTE：可执行文件 -
MH_DYLIB：动态库 -
MH_BUNDLE：包文件
4，通用二进制文件（universal binary）
- 介绍
1>不同的设备架构是不一样的，比如：iPhone4是
armv7，iPhone5是armv7s，iPhone6是arm642>为了让我们开发的APP能够运行在不同的设备上，生成的可执行文件必须包含不同架构的二进制文件，该可执行文件就称为通用二进制文件
3>在设备上运行时只会执行对应架构的代码，不会增加内存的开销
4>因为比单一架构的文件大，所以也被称为“胖二进制文件”（
fat binary）
- 在Xcode中查看
target的架构类型（一般无需修改）
- 将通用二进制文件拆分为不同架构的二进制文件：
lipo [通用文件名] -thin [架构名称] -output [输出文件名]
- 将不同架构的二进制文件合并为通用二进制文件：
lipo -create [单一文件名1] [单一文件名2] -output [输出文件名]
- Hopper能够识别通用二进制文件
ting_64
ting2
六，Mach-O基本结构
1，结构
- 说明
1>
Header：文件类型、架构类型等信息
2>Load commands：描述文件数据在内存中是如何分布的
3>Raw segment data：文件数据在内存中的具体分布
2，用otool命令查看结构信息
3，用MachOView工具查看结构信息
下载地址：https://sourceforge.net/projects/machoview
