fishhook原理

最新推荐文章于 2023-04-20 11:57:10 发布

weixin_34391445

最新推荐文章于 2023-04-20 11:57:10 发布

阅读量179

点赞数

文章标签： python

原文链接：https://my.oschina.net/HeroOneHY/blog/2960989

版权

2019独角兽企业重金招聘Python工程师标准>>>

fishhook是Facebook提供的一个动态修改链接mach-O文件的工具。利用MachO文件加载原理，通过修改懒加载和非懒加载两个表的指针达到C函数HOOK的目的。

前提

1. Mach-O文件是被谁加载的？
我们知道，在程序启动的时候 Mach-O 文件会被 DYLD （动态加载器）加载进内存。加载完 Mach-O 后，DYLD接着会去加载 Mach-O 所依赖的动态库。

2. 何为ASLR技术？
地址空间布局随机化。它会让 Mach-O 文件加载的时候是随机地址。有了这个技术，Mach-O 文件每次加载进内存的时候地址都是不一样的。主要是为了防止逆向技术。

Mach-O 文件里只有我们自己写的函数，系统的动态库的函数是不在 Mach-O 文件里的。也就是说每次启动从 Mach-O 文件到系统动态库函数的偏移地址都是变化的。

问题

我们如何在 Mach-O 文件里找到系统的函数地址呢？或者说 Mach-O 文件是如何链接外部函数的呢？

我们程序的底层都是汇编，汇编代码都是写死的内存地址。我们该怎么找呢？而且系统的动态库在内存里面的地址是不固定的，每次启动程序的时候地址都是随机的。

苹果为了能在 Mach-O 文件中访问外部函数，采用了一个技术，叫做PIC（位置代码独立）技术。
当你的应用程序想要调用 Mach-O 文件外部的函数的时候，或者说如果 Mach-O 内部需要调用系统的库函数时，Mach-O 文件会：

先在 Mach-O 文件的 _DATA 段中建立一个指针（8字节的数据，放的全是0），这个指针变量指向外部函数。
DYLD 会动态的进行绑定！将 Mach-O 中的 _DATA 段中的指针，指向外部函数。

所以说，C的底层也有动态的表现。C在内部函数的时候是静态的，在编译后，函数的内存地址就确定了。但是，外部的函数是不能确定的，也就是说C的底层也有动态的。fishhook 之所以能 hook C函数，是利用了 Mach-O 文件的 PIC 技术特点。也就造就了静态语言C也有动态的部分，通过 DYLD 进行动态绑定的时候做了手脚。

我们经常说符号，其实 _DATA 段中建立的指针就是符号。fishhook的原理其实就是，将指向系统方法（外部函数）的符号重新进行绑定指向内部的函数。这样就把系统方法与自己定义的方法进行了交换。这也就是为什么C的内部函数修改不了，自定义的函数修改不了，只能修改 Mach-O 外部的函数。

fishhook的具体过程

fishhook 要做的事情就是找到 segment： DATA ，然后找到 section：__la_symbol_ptr。最后，找到其中的目标函数地址，替换目标函数地址为自己的函数地址(根据函数名作为替换的依据)。

具体分为2个步骤：

找到目标函数地址
找到函数名，一一比对。成功后，替换目标函数地址为自己的函数地址。

其中，找到函数名的过程，有点曲折。string table 是一个数组，里面包含了函数名。根据偏移 offset 能找到需要的函数名。

如何根据符号地址找到函数名？

首先，我们从懒加载符号表（Lazy Symbol Pointers）开始入手。懒加载符号表里面第一个符号是 NSLog 的指针。这个懒加载符号表有一个与之一一对应的符号表（Indirect Symbols）。

上图的 Data 值，是一个真正的符号表的下标。这个符号表是对应着字条串的。比如：NSLog 的 Data 值为0x7A，换成十进制就是122。也就是说 NSLog 这个符号在我们的字符符号表里面的 index 值为122。接着就需要到符号表（Symbols）里面找第122个。这个时候还没到字符串。

这个时候，NSLog 在真正的字符串里面是在哪个地方呢？注意，上图有一个偏移0x9C，就是在字符串表（String Table）里面的一个index。也就是说这个 NSLog 在 String Table 里面的偏移地址是0x9C。

如上图，String Table 是从0x0000CF04开始的，所以开始地址0xCF04 + 偏移地址0x9C = 0xCFA0，就是字符串 NSLog 的位置。

_ 是函数的开始，. 是分隔符。5F是从 _开始，往后依次 _NSLog

接下来，附上 fishhook 官方文档的在懒加载和非懒加载符号表里查找一个给定入口的名字的过程。

验证fishhook结果：

我们以 NSLog 为例，看 fishhook 是如何通过修改懒加载和非懒加载两个表的指针达到C函数HOOK的目的。

（NSLog 是在懒加载表里）
注：对于非懒加载符号表，DYLD会立刻马上去链接动态库
对于懒加载符号表，DYLD会在执行代码的时候去动态的链接动态库

- (void)viewDidLoad {
[super viewDidLoad];
// Do any additional setup after loading the view, typically from a nib.
//这里必须要先加载一次NSLog，如果不写NSLog，符号表里面根本就不会出现NSLog的地址
NSLog(@"123");

//定义rebinding结构体
struct rebinding nslogBind;
//函数的名称
nslogBind.name = "NSLog";
//新的函数地址
nslogBind.replacement = myMethod;
//保存原始函数地址变量的指针
nslogBind.replaced = (void *)&old_nslog;

//定义数组
struct rebinding rebs[] = {nslogBind};

/**
arg1: 存放rebinding结构体的数组
arg2: 数组的长度
*/
rebind_symbols(rebs, 1);
}