[iOS逆向]7、HOOK原理
1、概述
HOOK，在iOS逆向中是指改变程序运行流程的一种技术。通过hook可以让别人的程序执行自己所写的代码。
1.1、HOOK在iOS中的几种方式
1、Method Swizzle
利用OC的Runtime特性，动态改变SEL（方法编号）和IMP（方法实现）的对应关系，达到OC方法调用流程改变的目的。主要用于OC方法。
1、在OC中，SEL 和 IMP 之间的关系，就好像一本书的“目录”。SEL 是方法编号，就像“标题”一样。IMP是方法实现的真实地址，就像“页码”一样。他们是一一对应的关系。
2、Runtime提供了交换两个SEL和IMP对应关系的函数。通过这个函数交换两个SEL和IMP对应关系的技术，我们称之为Method Swizzle（方法欺骗）
2、fishhook
它是Facebook提供的一个动态修改链接mach-O文件的工具。利用MachO文件加载原理，通过修改懒加载和非懒加载两个表的指针达到C函数HOOK的目的。
3、Cydia Substrate
Cydia Substrate 原名为 Mobile Substrate ，它的主要作用是针对OC方法、C函数以及函数地址进行HOOK操作。当然它并不是仅仅针对iOS而设计的，安卓一样可以用。官方地址：http://www.cydiasubstrate.com/
1、MobileHooker
顾名思义用于HOOK。它定义一系列的宏和函数，底层调用objc的runtime和fishhook来替换系统或者目标应用的函数。其中有两个函数:
-
MSHookMessageEx 主要作用于Objective-C方法
void MSHookMessageEx(Class class, SEL selector, IMP replacement, IMP result) -
MSHookFunction 主要作用于C和C++函数
void MSHookFunction(voidfunction,void* replacement,void** p_original) , Logos语法的%hook 就是对此函数做了一层封装
2、safe mode
破解程序本质是dylib，寄生在别人进程里。 系统进程一旦出错，可能导致整个进程崩溃，崩溃后就会造成iOS瘫痪。所以CydiaSubstrate引入了安全模式，在安全模 式下所有基于CydiaSubstratede 的三方dylib都会被禁用，便于查错与修复。
2、fishHook
它是Facebook提供的一个动态修改链接mach-O文件的工具。利用MachO文件加载原理，通过修改懒加载和非懒加载两个表的指针达到C函数HOOK的目的。
2.1、fishhook的使用
1、fishhook的源码地址
2、hook系统函数NSLog
#import "ViewController.h"
#import "fishhook.h"
@interface ViewController ()
@end
@implementation ViewController
- (void)viewDidLoad {
[super viewDidLoad];
struct rebinding func;
func.name = "NSLog";
func.replacement = my_func;
func.replaced = (void *)&sys_nslog;
struct rebinding bds[1] = {func};
rebind_symbols(bds, 1);
}
static void (*sys_nslog)(NSString *format, ...);
void my_func(NSString * str, ...) {
str = [NSString stringWithFormat:@"hook$$:%@", str];
sys_nslog(str);
}
- (void)touchesBegan:(NSSet<UITouch *> *)touches withEvent:(UIEvent *)event {
NSLog(@"sss");
}
@end
打印结果
测试代码可以HOOK成功
3、用自己写的C函数测试一下
void func(const char * name){
printf("%s", name);
}
- (void)viewDidLoad {
[super viewDidLoad];
struct rebinding nsLog;
nsLog.name = "aaa";
nsLog.replacement = now_func;
nsLog.replaced = (void *)&ori_func;
struct rebinding rebinds[1] = {nsLog};
rebind_symbols(rebinds, 1);
}
static void (* ori_func)(const char * name);
void now_func(const char * name) {
printf("%s hook成功",name);
}
- (void)touchesBegan:(NSSet<UITouch *> *)touches withEvent:(UIEvent *)event {
func("开始\n");
}
hook
测试结果hook不成功
2.2、原理
1、共享缓存库
在iOS or Mac系统中，动态库在加载的时候都需要用dyld（位于/usr/lib/dyld）程序进行链接。如果在每个程序运行的时候在一个一个将这些动态库都加载进来，不仅耗费内存而且耗时。为了降低内存，提高性能,苹果引入了共享缓存库,用来存储系统的库。
Mac下的共享缓存库位置:/private/var/db/dyld/
iOS下的共享缓存库位置:/System/Library/Caches/com.apple.dyld/”
文件名都是以“dyld_shared_cache_”开头，再加上这个dyld缓存文件所支持的指令集。
2、PIC技术(位置独立代码)
C语言是静态的，也就是在编译的时候就已经确定了函数的地址。而系统的函数由于共享缓存库的存在，必须是dyld加载的时候(运行时)才能确定,这明显存在矛盾。为了解决这个问题,苹果针对Mach-O文件提供了一种PIC技术，即在MatchO的_Data段中添加懒加载表(Lazy Symbol Pointers)和非懒加载表(Non-Lazy Symbol Pointers)这两个表，让系统的函数在编译的时候先指向懒加载表(Lazy Symbol Pointers)或非懒加载表(Non-Lazy Symbol Pointers)中的符号地址，这两个表中的符号的地址的指向在编译的时候并没有指向任何地方，app启动，被dyld加载到内存，就进行链接，给这2个表赋值动态缓存库的地址进行符号绑定。
3、通过NSLog查看绑定前后的变化
1）、通过MachOView查看NSLog在文件中的偏移值
NSLog
Offset：0xc000
Destination：0x0000000100006490
终端查看命令
image list
image list
APP的起始地址：0x0000000104420000
Slide：0x0000000004420000（ALSR）
查看NSLog的地址
memory read 0x0000000104420000+0xc000
NSLog的真实地址
0x0104426490（NSLog真实地址）=Destination+Slide
2）、NSLog绑定后
查看汇编
dis -s 0x019c9ea710
NSLog绑定后地址
3）、NSLog重新绑定
重绑定
通过汇编可以看出NSLog绑定后的地址值my_func
4、通过MachOView查找间接符号表
1）、Lazy Symbol Pointers 查找间接符号表NSLog
Lazy Symbol Pointers
2）、根据Lazy Symbol Pointers索引值在Indirect Symbols中查找NSLog的索引（Data）
Indirect Symbols
3）、Indirect Symbols表中的索引值为B8，换算成10进制184，然后再Symbols表中查找索引#184
Symbols
4）、通过Symbols查找的索引值为CE（Data）,然后再表String Table表中查找NSLog符号。
（索引值）0x11308=（起始值）0x11238+（偏移）0xCE
String Table
综上的查找流程可以通过fishhook官方提供的流程图描述：
fishhook的符号绑定
