iOS中的HOOK技术

最新推荐文章于 2022-06-27 11:39:57 发布

煮酒Shae

最新推荐文章于 2022-06-27 11:39:57 发布

阅读量1.5k

点赞数 1

分类专栏： IOS

本文链接：https://blog.csdn.net/qq_27597629/article/details/104634973

版权

IOS 专栏收录该内容

115 篇文章 3 订阅

订阅专栏

文章目录

简介
fishhook
Method Swizzle
Runtime 术语的数据结构
macoView

简介

OC语言是动态的

C语言是纯静态的，C函数的调用是通过函数地址，函数地址在编译时期就必须确认。如果要hook，要直接修改二进制，要直接去写汇编代码。

fishhook

介绍

fishhook是facebook出品的一个开源库。利用mach-o文件加载原理，通过rebind_symbols函数修改__DATA Segment的符号指针指向，来动态的Hook C函数。

主要信息

结构体

struct rebinding {
  const char *name;   //函数名称
  void *replacement;  //新的函数地址
  void **replaced;   //保存原始函数地址变量的指针（通常要存储下来，在替换后的方法里调用）
};

主要接口

  /*
  交换方法
  arg1: 存放rebinding结构体的数组
  arg2: 数组的长度
  */
int rebind_symbols(struct rebinding rebindings[], size_t rebindings_nel);

实现

在这里插入图片描述
hook OC函数

//
//  ViewController.m
//  fishhookTest
//
//  Created by  on 2020/3/3.
//  Copyright © 2020 Shae. All rights reserved.
//

#import "ViewController.h"
#import "fishhook.h"
@interface ViewController ()

@end

@implementation ViewController

- (void)viewDidLoad {
    [super viewDidLoad];
    //这里必须要先加载一次要交换的函数，否则符号表里面不会出现要交换的函数的地址
    NSLog(@"我是纯正的NSLog函数");
    
    //定义rebinding结构体
    struct rebinding manager;
    //要交换的函数的名称
    manager.name="NSLog";
    //新的函数的地址
    manager.replacement=new_NSLog;
    //保存原始函数地址变量的指针（存储下来，在替换的方法里调用）
    manager.replaced=(void*)&old_NSLog;
    //定义数组
    struct rebinding rebs[]={manager};
    /*
     交换方法
     arg1: 存放rebinding结构体的数组
     arg2: 数组的长度
     */
    rebind_symbols(rebs, 1);
    
}
//函数指针，用来保存原始的函数地址
static void (* old_NSLog)(NSString *format, ...);
//新的NSLog函数
void new_NSLog(NSString *format, ...){
    format=[format stringByAppendingString:@"被勾上了"];
    //再调原来的
    old_NSLog(format);

}
- (void)touchesBegan:(NSSet<UITouch *> *)touches withEvent:(UIEvent *)event{
    NSLog(@"点击屏幕");
}

@end

hook C函数

#import "ViewController.h"
#import "fishhook.h"

@interface ViewController ()

@end

@implementation ViewController
- (void)viewDidLoad {
  [super viewDidLoad];

  //这里必须要先加载一次要交换的函数，否则符号表里面不会出现要交换的函数的地址
  printf("我是纯正的printf函数\n");

  //定义rebinding结构体
  struct rebinding manager;
  //要交换函数的名称
  manager.name = "printf";
  //新的函数地址
  manager.replacement = new_printf;
  //保存原始函数地址变量的指针（存储下来，在替换后的方法里调用）
  manager.replaced = (void *)&old_printf;

  //定义数组
  struct rebinding rebs[] = {manager};

 /*
  交换方法
  arg1: 存放rebinding结构体的数组
  arg2: 数组的长度
  */
  rebind_symbols(rebs, 1);
}

//函数指针，用来保存原始的函数地址
static int (* old_printf)(const char *, ...);

//新的printf函数
void new_printf(const char * name, ...) {
  //再调用原来的
  old_printf("勾上了！\n");
}

- (void)touchesBegan:(NSSet<UITouch *> *)touches withEvent:(UIEvent *)event {
  printf("点击屏幕");
}
@end

在这里插入图片描述

Method Swizzle

在这里插入图片描述
Method Swizzle是利用OC的Runtime特性，动态改变SEL（方法编号）和IMP（方法实现）的对应关系，达到OC方法调用流程改变的目的。主要用于OC方法调换或往系统方法注入代码。

Runtime 术语的数据结构

SEL

它是selector在 Objc 中的表示(Swift 中是 Selector 类)。selector 是方法选择器，其实作用就和名字一样，日常生活中，我们通过人名辨别谁是谁，注意 Objc 在相同的类中不会有命名相同的两个方法。selector 对方法名进行包装，以便找到对应的方法实现。它的数据结构是：

typedef struct objc_selector *SEL;

我们可以看出它是个映射到方法的 C 字符串，你可以通过 Objc 编译器器命令@selector() 或者 Runtime 系统的 sel_registerName 函数来获取一个 SEL 类型的方法选择器。

注意：
不同类中相同名字的方法所对应的selector是相同的，由于变量的类型不同，所以不会导致它们调用方法实现混乱。

id

id 是一个参数类型，它是指向某个类的实例的指针。定义如下：

typedef struct objc_object *id;
struct objc_object { Class isa; };

以上定义，看到 objc_object 结构体包含一个 isa 指针，根据 isa 指针就可以找到对象所属的类。

注意：
isa 指针在代码运行时并不总指向实例对象所属的类型，所以不能依靠它来确定类型，要想确定类型还是需要用对象的 -class 方法。（如：KVO 的实现机理就是将被观察对象的 isa 指针指向一个中间类而不是真实类型）

Class

typedef struct objc_class *Class;

Class 其实是指向 objc_class 结构体的指针。objc_class 的数据结构如下：

struct objc_class {
    Class isa  OBJC_ISA_AVAILABILITY;   //类的isa指针，指向其所属的元类（meta）

#if !__OBJC2__
    Class super_class  //父类指针                       OBJC2_UNAVAILABLE;
    const char *name   //类名                           OBJC2_UNAVAILABLE;
    long version  //是类的版本信息                       OBJC2_UNAVAILABLE;
    long info  //是类的详情                             OBJC2_UNAVAILABLE;
    long instance_size  //该类的实例对象的大小            OBJC2_UNAVAILABLE;
    struct objc_ivar_list *ivars  //成员变量列表         OBJC2_UNAVAILABLE;
    struct objc_method_list **methodLists  //方法列表    OBJC2_UNAVAILABLE;
    struct objc_cache *cache  //缓存                    OBJC2_UNAVAILABLE;
    struct objc_protocol_list *protocols  //协议列表     OBJC2_UNAVAILABLE;
#endif

} OBJC2_UNAVAILABLE;

·Class 也有一个 isa 指针，指向其所属的元类（meta）。
·super_class：指向其超类。
·name：是类名。
·version：是类的版本信息。
·info：是类的详情。
·instance_size：是该类的实例对象的大小。
·ivars：指向该类的成员变量列表。
·methodLists：指向该类的实例方法列表，它将方法选择器和方法实现地址联系起来。methodLists 是指向 ·objc_method_list 指针的指针，也就是说可以动态修改 *methodLists 的值来添加成员方法，这也是 Category 实现的原理，同样解释了 Category 不能添加属性的原因。
·cache：Runtime 系统会把被调用的方法存到 cache 中（理论上讲一个方法如果被调用，那么它有可能今后还会被调用），下次查找的时候效率更高。
·protocols：指向该类的协议列表。

其中 objc_ivar_list 和 objc_method_list 分别是成员变量列表和方法列表：

//成员变量列表
struct objc_ivar_list {
    int ivar_count                                     OBJC2_UNAVAILABLE;
#ifdef __LP64__
    int space                                          OBJC2_UNAVAILABLE;
#endif
    /* variable length structure */
    struct objc_ivar ivar_list[1]                      OBJC2_UNAVAILABLE;
}                                                      OBJC2_UNAVAILABLE;

//方法列表
struct objc_method_list {
    struct objc_method_list *obsolete                  OBJC2_UNAVAILABLE;

    int method_count                                   OBJC2_UNAVAILABLE;
#ifdef __LP64__
    int space                                          OBJC2_UNAVAILABLE;
#endif
    /* variable length structure */
    struct objc_method method_list[1]                  OBJC2_UNAVAILABLE;
}

由此可见，我们可以动态修改 *methodList 的值来添加成员方法，这也是 Category 实现的原理，同样解释了 Category 不能添加属性的原因。

objc_ivar_list 结构体用来存储成员变量的列表，而 objc_ivar 则是存储了单个成员变量的信息；同理，objc_method_list 结构体存储着方法数组的列表，而单个方法的信息则由 objc_method 结构体存储。

值得注意的时，objc_class 中也有一个 isa 指针，这说明 Objc 类本身也是一个对象。为了处理类和对象的关系，Runtime 库创建了一种叫做 Meta Class(元类) 的东西，类对象所属的类就叫做元类。Meta Class 表述了类对象本身所具备的元数据。

在这里插入图片描述

Method

Method 代表类中某个方法的类型

typedef struct objc_method *Method;

struct objc_method {
    SEL method_name                                    OBJC2_UNAVAILABLE;
    char *method_types                                 OBJC2_UNAVAILABLE;
    IMP method_imp                                     OBJC2_UNAVAILABLE;
}

objc_method 存储了方法名，方法类型和方法实现：

方法名，类型为 SEL
方法类型 method_types 是个 char 指针，存储方法的参数类型和返回值类型
method_imp 指向了方法的实现，本质是一个函数指针

Ivar

Ivar 是表示成员变量的类型。

typedef struct objc_ivar *Ivar;

struct objc_ivar {
    char *ivar_name                                    OBJC2_UNAVAILABLE;
    char *ivar_type                                    OBJC2_UNAVAILABLE;
    int ivar_offset                                    OBJC2_UNAVAILABLE;
#ifdef __LP64__
    int space                                           OBJC2_UNAVAILABLE;
#endif
}

其中 ivar_offset 是基地址偏移字节

IMP

IMP在objc.h中的定义是：

typedef id (*IMP)(id, SEL, ...);

它就是一个函数指针，这是由编译器生成的。当你发起一个 ObjC 消息之后，最终它会执行的那段代码，就是由这个函数指针指定的。而 IMP 这个函数指针就指向了这个方法的实现。

你会发现 IMP 指向的方法与 objc_msgSend 函数类型相同，参数都包含 id 和 SEL 类型。每个方法名都对应一个 SEL 类型的方法选择器，而每个实例对象中的 SEL 对应的方法实现肯定是唯一的，通过一组 id和 SEL参数就能确定唯一的方法实现地址。

Cache

Cache 定义如下：

typedef struct objc_cache *Cache

struct objc_cache {
    unsigned int mask /* total = mask + 1 */           OBJC2_UNAVAILABLE;
    unsigned int occupied                              OBJC2_UNAVAILABLE;
    Method buckets[1]                                  OBJC2_UNAVAILABLE;
};

Cache 为方法调用的性能进行优化，每当实例对象接收到一个消息时，它不会直接在 isa 指针指向的类的方法列表中遍历查找能够响应的方法，因为每次都要查找效率太低了，而是优先在 Cache 中查找。

Runtime 系统会把被调用的方法存到 Cache 中，如果一个方法被调用，那么它有可能今后还会被调用，下次查找的时候就会效率更高。就像计算机组成原理中 CPU 绕过主存先访问 Cache 一样。

方法交换(Method Swizzling)

下面代码对UIViewController中的viewDidLoad方法进行交换
UIViewController+swizzling.m文件

#import "UIViewController+swizzling.h"
#import <objc/runtime.h>

@implementation UIViewController (swizzling)

//load类方法(当某个类的代码被读到内存后调用)
+ (void)load
{
    /*
     SEL: 它就是个映射到方法的C字符串，可以用Objective-C编译器命令@selector()或者Runtime系统的sel_registerName函数来获得一个SEL类型的方法选择器。
     
     数据结构是：
     typedef struct objc_selector *SEL;
     */
    SEL origSel = @selector(viewDidLoad);
    SEL swizSel = @selector(swiz_viewDidLoad);
  
    [UIViewController swizzleMethods:[self class] originalSelector:origSel swizzledSelector:swizSel];
}

//交换两个方法的实现
+ (void)swizzleMethods:(Class)class originalSelector:(SEL)origSel swizzledSelector:(SEL)swizSel
{
    /*
     Method 代表类中某个方法的类型
     
     typedef struct objc_method *Method;
     
     struct objc_method {
     SEL method_name                                    OBJC2_UNAVAILABLE;
     char *method_types                                 OBJC2_UNAVAILABLE;
     IMP method_imp                                     OBJC2_UNAVAILABLE;
     }
     objc_method 存储了方法名，方法类型和方法实现：
     
     方法名类型为 SEL
     方法类型 method_types 是个 char 指针，存储方法的参数类型和返回值类型
     method_imp 指向了方法的实现，本质是一个函数指针
     
     
     class_getInstanceMethod(class, origSel);
     返回class类的origSel方法。
    */
    Method origMethod = class_getInstanceMethod(class, origSel);
    Method swizMethod = class_getInstanceMethod(class, swizSel);
    
    /*
     周全起见，有两种情况要考虑一下
     第一种情况：要交换的方法并没有在目标类中实现，而是在其父类中实现了, 这时使用class_getInstanceMethod函数获取到的originalSelector指向的就是父类的方法
     第二种情况：要交换的方法已经存在于目标类中

     
      class_addMethod(class, origSel, method_getImplementation(swizMethod), method_getTypeEncoding(swizMethod));
      往class这个类,添加方法origSel,新增方法的实现地址为method_getImplementation(swizMethod),参数及返回值类型为method_getTypeEncoding(swizMethod)
      添加成功返回YES,失败返回NO(例如，该类已经包含一个同名的方法实现)
     
      method_getImplementation(swizMethod)  返回swizMethod方法实现
      method_getTypeEncoding(swizMethod)  返回描述swizMethod方法参数和返回值类型的字符串
     */
    //判断是情况一还是情况二
    BOOL didAddMethod = class_addMethod(class, origSel, method_getImplementation(swizMethod), method_getTypeEncoding(swizMethod));
  
    if (didAddMethod)
    {
        /*
          第一种情况：要交换的方法已经在父类中实现了，则替换父类方法
          使用replaceMethod来替换给定类的方法实现(将origMethod方法替换成swizSel方法)
         */
        class_replaceMethod(class, swizSel, method_getImplementation(origMethod), method_getTypeEncoding(origMethod));
    }
    else
    {
        /*
          第二种情况：要交换的方法已经存在于目标类中
          通过method_exchangeImplementations来交换方法
         */
        method_exchangeImplementations(origMethod, swizMethod);
    }
}

//自己实现的用于交换的方法
- (void)swiz_viewDidLoad
{
    NSLog(@"调用了swiz_viewDidLoad方法");
    
    /*
       需要注入的代码写在此处
     */
    
    //执行这句的时候跳转到viewDidLoad方法中
    [self swiz_viewDidLoad];
}
@end

ViewController.m文件

#import "ViewController.h"
#import "UIViewController+swizzling.h"

@interface ViewController ()

@end

@implementation ViewController

- (void)viewDidLoad
{
    //执行这句的时候跳到swiz_viewDidLoad方法中
    [super viewDidLoad];
  
    NSLog(@"调用了viewDidLoad方法");
}
@end

当执行[super viewDidLoad]时，跳转到swiz_viewDidLoad方法中。当执行到[self swiz_viewDidLoad]时，再跳转到viewDidLoad方法中。因此，先打印“调用了swiz_viewDidLoad方法”，再打印“调用了viewDidLoad方法”

在这里插入图片描述

macoView

用来研究应用的可执行文件的。

fishhook替换oc方法demo

煮酒Shae

关注

1
点赞
踩
12

收藏

觉得还不错? 一键收藏
0
评论
iOS中的HOOK技术

文章目录简介fishhook介绍主要信息结构体主要接口实现Method SwizzleRuntime 术语的数据结构SELidClassMethodIvarIMPCache方法交换(Method Swizzling)macoView简介OC语言是动态的C语言是纯静态的，C函数的调用是通过函数地址，函数地址在编译时期就必须确认。如果要hook，要直接修改二进制，要直接去写汇编代码。fishh...
复制链接

扫一扫