iOS逆向-15：Hook原理

2021-05-17 本文已影响0人恍然如梦_b700

Hook概述

HOOK，中文译为“挂钩”或“钩子”。在iOS逆向中是指改变程序运行流程的一种技术。通过hook可以让别人的程序执行自己所写的代码。在逆向中经常使用这种技术。所以在学习过程中，我们重点要了解其原理，这样能够对恶意代码进行有效的防护。

Hook示意

比如说我们收到红包消息，我们进行hook，执行自定义的恶意代码、看看抢红包需要哪些参数，准备好参数调用抢红包代码。就不需要等待用户点开红包，点击抢红包等一一系列操作了

iOS中HOOK技术的几种方式

Method Swizzle

利用OC的Runtime特性，动态改变SEL（方法编号）和IMP（方法实现）的对应关系，达到OC方法调用流程改变的目的。主要用于OC方法。
fishhook

它是Facebook提供的一个动态修改链接mach-O文件的工具。利用MachO文件加载原理，通过修改懒加载和非懒加载两个表的指针达到C函数HOOK的目的。
Cydia Substrate

Cydia Substrate 原名为 Mobile Substrate ，它的主要作用是针对OC方法、C函数以及函数地址进行HOOK操作。当然它并不是仅仅针对iOS而设计的，安卓一样可以用。官方地址：http://www.cydiasubstrate.com/

fishhook

接口函数：

struct rebinding {
  const char *name;//需要HOOK的函数名称，C字符串
  void *replacement;//新函数的地址
  void **replaced;//原始函数地址的指针！
};
FISHHOOK_VISIBILITY
int rebind_symbols(struct rebinding rebindings[], size_t rebindings_nel);

/*
 * Rebinds as above, but only in the specified image. The header should point
 * to the mach-o header, the slide should be the slide offset. Others as above.
 */
FISHHOOK_VISIBILITY
int rebind_symbols_image(void *header,
                         intptr_t slide,
                         struct rebinding rebindings[],
                         size_t rebindings_nel);

demo:

- (void)viewDidLoad {
    [super viewDidLoad];
    //创建rebinding 结构体
    struct rebinding myNslog;
    myNslog.name = "NSLog";
    myNslog.replacement = my_NSLog;
    myNslog.replaced = (void *)&sysLog;
    struct rebinding bds[] = {myNslog};
    rebind_symbols(bds, 1);
    
}

//原函数
static void (*sysLog)(NSString *format, ...);
//新函数
void my_NSLog(NSString *format, ...) {
    format = [format stringByAppendingFormat:@"\nhook成功~！！！"];
    //回到系统的nslog里
    sysLog(format);
}


-(void)touchesBegan:(NSSet<UITouch *> *)touches withEvent:(UIEvent *)event
{
    NSLog(@"hello");
}

结果：

image.png

用法比较简单，那么fishhook是如何hook函数的呢
我们知道：
OC动态语言特性方法通过sel找imp
而C语言是静态语言直接通过函数地址访问

那么我们猜想一下，fishhook是不是先保存原函数的地址，然后bl到自己的函数地址呢?
其实这个过程并没有那么简单：
MachO Text段(只读\可执行!)
Data段(可读\可写) 所以这里面包含了符号，及符号表
首先编译时NSLog的地址我们不知道，NSLog在foundation共享缓存库中
在访问NSLog的时候，使用的其实是PIC技术（位置无关代码），首先访问占位符占位符就叫做符号，占8个字节，dlyd 进行对符号里的数据修改就叫做符号绑定！！而所有的符号列表就叫做符号表，
因为外部符号地址不确定所以使用PIC技术