Mach-O：用fishhook剖析iOS的内幕

2023-11-14 19:37:35

在iOS生态系统中，Mach-O文件扮演着至关重要的角色，它承载着应用程序的代码和数据，构成了应用程序运行的基础。而fishhook，一个强大的库，则提供了探索Mach-O文件内部运作的窗口，让我们得以深入了解iOS的机制。

Mach-O文件结构

Mach-O文件是一种二进制可执行文件格式，用于在macOS和iOS系统中存储应用程序代码。它遵循模块化的设计，包含多个称为"段"的区块，每个段都有特定的目的。例如，__TEXT段包含可执行代码，而__DATA段则存储初始化数据。

fishhook：动态重绑定

fishhook库为Mach-O文件提供了一个独特的特性：动态重绑定。在应用程序启动时，动态链接器（dyld）会解析Mach-O文件中的符号，并将其与实际的函数地址进行绑定。然而，使用fishhook，我们可以动态地覆盖这些绑定，在应用程序运行过程中随时修改它们。

这种能力对于各种目的至关重要，例如：

拦截函数调用： 我们可以用自定义实现替换原始函数，以实现调试、性能分析或恶意代码检测。
修改函数参数： 在函数调用之前或之后修改传入或传出的参数，从而改变函数的行为。
修复崩溃： 通过重绑定指向已修复版本的函数，我们可以避免某些类型的崩溃。

fishhook的工作原理

fishhook的工作原理是利用Mach-O文件的特殊结构。Mach-O文件包含一个称为"符号表"的表，其中列出了文件中的所有符号及其地址。当dyld解析文件时，它会创建这些符号的内部查找表。

fishhook通过替换dyld创建的查找表来实现动态重绑定。它创建一个自己的查找表，其中包含自定义的符号地址。当应用程序尝试解析符号时，它会首先检查fishhook的查找表，如果找到，则使用fishhook提供的地址，而不是dyld提供的地址。

实践示例

以下是一个使用fishhook拦截printf函数的简单示例：

#include <stdio.h>
#include <fishhook/fishhook.h>

void new_printf(const char *format, ...) {
  printf("Hello from fishhook!\n");
}

int main() {
  rebind_symbols((struct rebinding[1]) {{"printf", new_printf}}, 1);
  printf("Hello from the original printf!\n");
  return 0;
}