iOS逆向之fishhook原理

最新推荐文章于 2024-09-25 09:12:43 发布

ZhaiAlan

最新推荐文章于 2024-09-25 09:12:43 发布

阅读量537

点赞数

分类专栏： iOS优化 iOS 安全 fishhook 文章标签： ios objective-c xcode

本文链接：https://blog.csdn.net/ZhaiAlan/article/details/105244405

版权

iOS优化同时被 3 个专栏收录

15 篇文章 0 订阅

订阅专栏

iOS 安全

9 篇文章 0 订阅

订阅专栏

fishhook

2 篇文章 0 订阅

订阅专栏

FishHook

fishHook是Facebook提供的一个动态修改链接mach-O文件的工具。利用MachO文件加载原理，通过修改懒加载表(Lazy Symbol Pointers)和非懒加载表(Non-Lazy Symbol Pointers)这两个表的指针达到C函数HOOK的目的。

在逆向中经常使用fishHook这个工具。所以在学习过程中，我们重点要了解其原理，这样能够对恶意代码进行有效的防护。

FishHook的简单使用

下载fishHook源码
Xcode新建项目工程,将fishHook拖入工程
写代码Hook系统函数NSLog

具体可以下载FishhooKDemo，具体代码具体代码如下：

#import "ViewController.h"
#import "fishhook.h"

@interface ViewController ()

@end

@implementation ViewController

- (void)viewDidLoad {
    [super viewDidLoad];
    
    //使用rebinding 结构体
    struct rebinding nslog;
    nslog.name = "NSLog";//要hook的函数名称
    nslog.replacement = myNSLog;//这里是函数的指针，也就是函数名称
    nslog.replaced = &sys_nslog;
//    rebinding 结构体数组
    struct rebinding rebs[1] = {nslog};
    /***
     存放rebinding 结构体数组
     数组长度
     */
    rebind_symbols(rebs, 1);
    
    
    
    // Do any additional setup after loading the view.
}
//---------修改的NSLog---------
//NSLog函数指针
static void(*sys_nslog)(NSString * format,...);
//定义一个新函数
void myNSLog(NSString *format,...){
    format = [format stringByAppendingString:@"~~~~~hook 到了!"];
    sys_nslog(format);
}
-(void)touchesBegan:(NSSet<UITouch *> *)touches withEvent:(UIEvent *)event
{
    NSLog(@"点击了屏幕");
}

当点击屏幕后可以看到输出结果：

可以看到HOOK到了系统函数NSLog了；这里注意fishHOOK 不能hook自己写的C语言函数；

fishHook原理

共享缓存库

在iOS or Mac系统中，几乎所有的程序都会用到动态库，而动态库在加载的时候都需要用dyld（位于/usr/lib/dyld）程序进行链接。很多系统库几乎都是每个程序都要用到的，如果在每个程序运行的时候在一个一个将这些动态库都加载进来，不仅耗费内存,而且耗时。为了降低内存，提高性能,苹果引入了共享缓存库,用来存储系统的库。
Mac下的共享缓存库位置:/private/var/db/dyld/
iOS下的共享缓存库位置:/System/Library/Caches/com.apple.dyld/”
文件名都是以“dyld_shared_cache_”开头，再加上这个dyld缓存文件所支持的指令集。

PIC技术(位置独立代码)
我们都知道C语言是静态的,也就是说,在编译的时候就已经确定了函数的地址。而系统的函数由于共享缓存库的存在,必须是dyld加载的时候(运行时)才能确定,这明显存在矛盾。为了解决这个问题,苹果针对Mach-O文件提供了一种PIC技术,即在MatchO的_Data段中添加懒加载表(Lazy Symbol Pointers)和非懒加载表(Non-Lazy Symbol Pointers)这两个表,让系统的函数在编译的时候先指向懒加载表(Lazy Symbol Pointers)或非懒加载表(Non-Lazy Symbol Pointers)中的符号地址,这两个表中的符号的地址的指向在编译的时候并没有指向任何地方,app启动,被dyld加载到内存,就进行链接, 给这2个表赋值动态缓存库的地址进行符号绑定。

在fishHOOK 之前加上一个打印；并打上断点


#import "ViewController.h"
#import "fishhook.h"

@interface ViewController ()

@end

@implementation ViewController

- (void)viewDidLoad {
    [super viewDidLoad];
    NSLog(@"viewDidLoad");
    //使用rebinding 结构体
    struct rebinding nslog;
    nslog.name = "NSLog";//要hook的函数名称
    nslog.replacement = myNSLog;//这里是函数的指针，也就是函数名称
    nslog.replaced = &sys_nslog;
//    rebinding 结构体数组
    struct rebinding rebs[1] = {nslog};
    /***
     存放rebinding 结构体数组
     数组长度
     */
    rebind_symbols(rebs, 1);
    
    
    
    // Do any additional setup after loading the view.
}
//---------修改的NSLog---------
//NSLog函数指针
static void(*sys_nslog)(NSString * format,...);
//定义一个新函数
void myNSLog(NSString *format,...){
    format = [format stringByAppendingString:@"~~~~~hook 到了!"];
    sys_nslog(format);
}
-(void)touchesBegan:(NSSet<UITouch *> *)touches withEvent:(UIEvent *)event
{
    NSLog(@"点击了屏幕");
}


@end

首先使用image list指令,查看MatchO的首地址，也就是ASLR地址，偏移地址；

何为ASLR技术？
地址空间布局随机化。它会让 Mach-O 文件加载的时候是随机地址。有了这个技术，Mach-O 文件每次加载进内存的时候地址都是不一样的。主要是为了防止逆向技术。

Mach-O 文件里只有我们自己写的函数，系统的动态库的函数是不在 Mach-O 文件里的。也就是说每次启动从 Mach-O 文件到系统动态库函数的偏移地址都是变化的。

使用MatchOView查看MatchO懒加载表中的NSLog符号在文件中的偏移值

查看符号表绑定的地址，这个地址其实就是指向外部函数的指针的地址，也就是动态缓存区里面 NSLog 的真实函数地址。这一步是找到了 NSLog 的符号表（Symbols）。因为iOS为小端模式这里地址应该是00007fff25762dfa

这个真实的函数地址是什么时候保存进去的呢？并不是 Mach-O 文件加载进内存的时候保存的。由于 NSLog 在懒加载符号表里面，所有它是在整个 Mach-O 文件启动之后，代码第一次运行 NSLog 时，由 DYLD 绑定该 NSLog 符号指向真实的 NSLog 的地址。

这个时候，我们需要通过反汇编看一下地址的值:dis -s 0x00007fff25762dfa

以上是HOOK之前的地址和绑定函数；我们通过下断点；在点击屏幕处下断点来进行查看下

首先查看下地址中存储

可以看到存储的和之前的不一样了：0x000000010ba965d0 反编译下看看

总结: fishHook其实就是修改懒加载表(Lazy Symbol Pointers)、非懒加载表(Non-Lazy Symbol Pointers)中的符号地址的指向，从而达到hook的目的

fishhook 是如何通过字符串来找到我们的函数的呢？

首先，我们从懒加载符号表（Lazy Symbol Pointers）开始入手。懒加载符号表里面第一个符号是 NSLog 的指针。这个懒加载符号表有一个与之一一对应的符号表（Indirect Symbols）。

这里的Data 值，是一个真正的符号表的下标。这个符号表是对应着字条串的。比如：NSLog 的 Data 值为0xA1，换成十进制就是161。也就是说 NSLog 这个符号在我们的字符符号表里面的 index 值为161。接着就需要到符号表（Symbols）里面找第161个。这个时候还没到字符串。