iOS开发iOS开发iOS 逆向

iOS堆栈信息解析（Mach-O）

2019-01-17  本文已影响53人  龙猫六六

Mach-O文件

Mach-O格式全称为Mach Object文件格式的缩写

Mach-O文件类型分类：

1.Executable:应用可执行的二进制文件，如.m/.h文件经过编译后会生成对应的Mach-O文件
2.Dylib Library:动态链接库
3.Static Library:静态链接库
4.Bundle:不能被链接 Dylib，只能在运行使用dlopen()加载
5.Relocatable Object File:可重定向文件类型

Mach-O文件结构

参考苹果官方文档，Mach-O文件结构由Header,Load Commands,Data三部分组成


Mach-O结构图.jpg

Header

作用：快速确认Mach-O文件的基本信息，如运行环境，Load Commands概述。
数据结构：
32位架构

struct mach_header {
    uint32_t    magic;      /* mach magic number identifier */
    cpu_type_t  cputype;    /* cpu specifier */
    cpu_subtype_t   cpusubtype; /* machine specifier */
    uint32_t    filetype;   /* type of file */
    uint32_t    ncmds;      /* number of load commands */
    uint32_t    sizeofcmds; /* the size of all the load commands */
    uint32_t    flags;      /* flags */
};

64位架构

struct mach_header_64 {
    uint32_t    magic;      /* mach magic number identifier */
    cpu_type_t  cputype;    /* cpu specifier */
    cpu_subtype_t   cpusubtype; /* machine specifier */
    uint32_t    filetype;   /* type of file */
    uint32_t    ncmds;      /* number of load commands */
    uint32_t    sizeofcmds; /* the size of all the load commands */
    uint32_t    flags;      /* flags */
    uint32_t    reserved;   /* reserved */
};

magic：确定Mach-O文件运行框架，如64位/32位
cpu：CPU类型，如arm
cpusubtype：对应CPU类型的具体型号
filetype：文件类型
ncmds：加载命令条数
sizeofcmds：所有加载命令的大小
flags：保留字段
reserved：标志位

案例说明：
使用MachOView工具查看Mach-O文件,如下图：

image.png
Mach-O文件运行基本环境：

Load commands

作用:
Load Commands 加载指令，告诉加载器如何处理二进制数据，处理对方分别为内核，动态链接器等。加载指令紧跟在Header后的加载命令区。Load Commands 加载指令个数及大小在Header中定义（ commands 的大小总和即为 Header->sizeofcmds 字段，共有 Header->ncmds 条加载命令）。

数据结构：
通用结构

struct load_command {
    uint32_t cmd;       /* type of load command */
    uint32_t cmdsize;   /* total size of command in bytes */
};

指令类型:
LC_SEGMENT/LC_SEGMENNT_64

struct segment_command_64 { /* for 64-bit architectures */
    uint32_t    cmd;        /* LC_SEGMENT_64 */
    uint32_t    cmdsize;    /* includes sizeof section_64 structs */
    char        segname[16];    /* segment name */
    uint64_t    vmaddr;     /* memory address of this segment */
    uint64_t    vmsize;     /* memory size of this segment */
    uint64_t    fileoff;    /* file offset of this segment */
    uint64_t    filesize;   /* amount to map from the file */
    vm_prot_t   maxprot;    /* maximum VM protection */
    vm_prot_t   initprot;   /* initial VM protection */
    uint32_t    nsects;     /* number of sections in segment */
    uint32_t    flags;      /* flags */
};

主要字段介绍：
cmd:指令类型，LC_SEGMENT_64 （固定）
cmdsize:指令长度
segname:段名，如_PAGEZERO（保留数据空间，4g）,_TEXT（代码数据）,_DATA（函数指针）,_LINKDIT（链接数据）
vmaddr:段的虚拟内存起始地址
vmsize:段的虚拟内存大小
fileoff:段在文件中的偏移量
filesize:段在文件中的大小

段数据加载并映射到内存过程：从fileo ff处加载file size大小到虚拟内存vmaddr处，并占用虚拟内存大小为vmsize，一般情况下段名_TEXT,_DATA的file size=vmsize；段名_LINKDIT的file size<vmsize（动态链接申请的内存控件要大于文件大小）

LC_SEGMENT_TEXT

LC_SEGMENT_DATA

LC_SEGMENT_LINKEDIT

LC_SYMTAB

struct symtab_command {
    uint32_t    cmd;        /* LC_SYMTAB */
    uint32_t    cmdsize;    /* sizeof(struct symtab_command) */
    uint32_t    symoff;        /* symbol table offset */
    uint32_t    nsyms;        /* number of symbol table entries */
    uint32_t    stroff;        /* string table offset */
    uint32_t    strsize;    /* string table size in bytes */
};

LC_DYSYMTAB

struct symtab_command {
    uint32_t cmd;    /* LC_DYSYMTAB */
    uint32_t cmdsize;    /* sizeof(struct dysymtab_command) */
    uint32_t indirectsymoff; /* file offset to the indirect symbol table */
    uint32_t nindirectsyms;  /* number of indirect symbol table entries */
    .....
}

ASLR随机地址控件__

ASLR：Address space layout randomization，将可执行程序随机装载到内存中,这里的随机只是偏移，而不是打乱，具体做法就是通过内核将 Mach-O的段“平移”某个随机系数。slide 正是ASLR引入的偏移

加载指令相互关系

作用

地址换算

//链接时程序基址
uintptr_t linkedit_base = linkedit_segment->vmadd - linkedit_segment->fileoff + (unintptr)slide

//符号表地址 = 基址 + 符号表偏移量
nlist_t *symbol = (nlist_t *)(linkedit_base + symtab_cmd-> symoff)

//字符串表地址 = 基址 +字符串表偏移量
char *strtab = (char *)(linkedit_base + symtab_cmd->stroff)

//动态符号表地址  = 基址 + 动态符号表偏移量
uint32_t *indirect_symtab = (uint32_32 *)(linkedit_base + dysymtab_cmd->indirectsymoff)

补充

程序运行时，动态链接的函数a地址记录在LC_SEGMENT(_DATA )的la_symbol_ptr中。初始化时，程序只知道函数a的符号名而不知道函数的实现地址；首次调用，程序通过LC_SEGMENT(_TEXT)的stub_help获取绑定信息；dyld_stub_binder来更新la_symbol_ptr中的符号实现地址；再次调用，直接通过la_symbol_ptr获取函数实现

image.png

补充：

动态函数调用过程
程序初始化：
函数符号名：已存在，并以nlist结构存储，但nlist->n_value=0(函数地址没有值)
函数实现地址：已存在，存放在mach-o文件cmd加载指令（SegmentName=_DATA,SectionName=__la_symbol_ptr）
函数符号名与实现地址关联（未关联）：即补全nlist信息

程序运行:
函数首次调用：
函数符号名与实现地址进行关联，nlist->n_value赋值函数地址

函数再次调用：
通过关联信息，通过函数符号直接获得函数实现地址

关联过程如下：
介绍关联过程前，简单介绍几个基础知识

关联过程
1.遍历Mach-O文件下的所有LoadCommand，寻址目标cmd，搜索条件（SegmetName=__DATA,SectionName=__la_symbol_ptr），目标cmd存储了动态函数个数，及第一个动态函数相对动态符号表偏移量
2.动态函数个数及动态符号表偏移量：动态函数个数=cmd->Szie/Szieof(void*);
动态符号表偏移量=cmd->reserved1
3.动态函数符号表寻址：第一个动态符号地址=动态符号表基址_LC_ DYSYMTAB->vm_add+slide+ reserved1;由于动态符号表连续存储动态函数符号，可遍历所有动态函数符号地址；地址值存储对应动态函数的符号表索引
4.关联建立,补全nlist结构体: 函数地址 + reserved1--->动态符号表寻址--->符号表index--->nlist信息补全

Data

section对应SEGMENTD的DATA数据
Section的数据结构

struct section { /* for 32-bit architectures */
    char        sectname[16];   /* name of this section */
    char        segname[16];    /* segment this section goes in */
    uint32_t    addr;       /* memory address of this section */
    uint32_t    size;       /* size in bytes of this section */
    uint32_t    offset;     /* file offset of this section */
    uint32_t    align;      /* section alignment (power of 2) */
    uint32_t    reloff;     /* file offset of relocation entries */
    uint32_t    nreloc;     /* number of relocation entries */
    uint32_t    flags;      /* flags (section type and attributes)*/
    uint32_t    reserved1;  /* reserved (for offset or index) */
    uint32_t    reserved2;  /* reserved (for count or sizeof) */
};

字段解释
sectname：比如_text、stubs
segname：该section所属的segment，比如__TEXT
addr： 该section在内存的起始位置
size： 该section的大小
offset： 该section的文件偏移
align ：字节大小对齐
reloff：重定位入口的文件偏移
nreloc： 需要重定位的入口数量
flags：包含section的type和attributes

附上mach-0简单的逻辑图

Mach-O.png
上一篇下一篇

猜你喜欢

热点阅读