iOS - 底层知识学习之路-Mach-o 、lldb、 dyld

最新推荐文章于 2022-02-03 18:48:17 发布
最新推荐文章于 2022-02-03 18:48:17 发布
阅读量527 收藏
点赞数
分类专栏： OC/Swift高级进阶
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/zhonggaorong/article/details/115330328
版权
本文详细介绍了MACHO文件的编译、分析过程，包括使用Clang进行编译、objdump查看代码段、DWARF调试信息的理解以及dyld在动态链接中的作用。内容涉及编译命令、重定位符号表、DWARF调试信息的生成与使用，以及如何通过dyld获取ASLR滑动值和计算虚拟地址。
摘要由CSDN通过智能技术生成

MACHO与重定位符号表认识。 

命令回顾

1. 将源代码编译成可执行文件命令

Clang 文件名 -o 输出的可执行文件名称

如：
Clang test.m - o test

2. 查看可执行文件的代码段命令

objdump --macho -d 可执行文件名称

如：
objdump --macho -d test

3. 将文件编译生.o文件命令

clang -c 文件名 -o .o文件名
如：
clang -c test.m -o test.o

4. 分析.o文件的代码段命令

源码： 


void test() {
    
}
void test_1() {
    
}
int global = 10;
int main(){
    global = 21;
    global = 20;
    test();
    test_1();
    return 0;
}

执行：

objdump --macho -d test.o

结果：

(__TEXT,__text) section
_test:
       0:	55	pushq	%rbp
       1:	48 89 e5	movq	%rsp, %rbp
       4:	5d	popq	%rbp
       5:	c3	retq
       6:	66 2e 0f 1f 84 00 00 00 00 00	nopw	%cs:_test(%rax,%rax)
_test_1:
      10:	55	pushq	%rbp
      11:	48 89 e5	movq	%rsp, %rbp
      14:	5d	popq	%rbp
      15:	c3	retq
      16:	66 2e 0f 1f 84 00 00 00 00 00	nopw	%cs:_test(%rax,%rax)
_main:
      20:	55	pushq	%rbp
      21:	48 89 e5	movq	%rsp, %rbp
      24:	48 83 ec 10	subq	$16, %rsp
      28:	c7 45 fc 00 00 00 00	movl	$_test, -4(%rbp)
      2f:	c7 05 fc ff ff ff 15 00 00 00	movl	$21, _global-4(%rip)
      39:	c7 05 fc ff ff ff 14 00 00 00	movl	$20, _global-4(%rip)
      43:	e8 00 00 00 00	callq	_test
      48:	e8 00 00 00 00	callq	_test_1
      4d:	31 c0	xorl	%eax, %eax
      4f:	48 83 c4 10	addq	$16, %rsp
      53:	5d	popq	%rbp
      54:	c3	retq

得出结论：

1. 看汇编可以得出编译顺序与代码的书写顺序是一致的。 

2. 看 43 与 48 行地址为 00 ，这是虚拟地址， 起占位作用， 通过重定位符号表来确定最终的内存地址。 

3. 查重定位符号表

objdump --macho --reloc .o文件名
如：
objdump --macho --reloc test.o

结果：如下面结果 （43 ， 48 的下一位）49 与 44 分别就是上面占位地址的最终内存地址 。 

address  pcrel length extern type    scattered symbolnum/value
00000049 True  long   True   BRANCH  False     _test_1
00000044 True  long   True   BRANCH  False     _test
0000003b True  long   True   SIGNED4 False     _global
00000031 True  long   True   SIGNED4 False     _global
Relocation information (__LD,__compact_unwind) 3 entries
address  pcrel length extern type    scattered symbolnum/value
00000040 False quad   False  UNSIGND False     1 (__TEXT,__text)
00000020 False quad   False  UNSIGND False     1 (__TEXT,__text)
00000000 False quad   False  UNSIGND False     1 (__TEXT,__text)

 

分析可执行文件的代码段命令

objdump --macho -d test

输出：

(__TEXT,__text) section
_test:
100003f60:	55	pushq	%rbp
100003f61:	48 89 e5	movq	%rsp, %rbp
100003f64:	5d	popq	%rbp
100003f65:	c3	retq
100003f66:	66 2e 0f 1f 84 00 00 00 00 00	nopw	%cs:(%rax,%rax)
_test_1:
100003f70:	55	pushq	%rbp
100003f71:	48 89 e5	movq	%rsp, %rbp
100003f74:	5d	popq	%rbp
100003f75:	c3	retq
100003f76:	66 2e 0f 1f 84 00 00 00 00 00	nopw	%cs:(%rax,%rax)
_main:
100003f80:	55	pushq	%rbp
100003f81:	48 89 e5	movq	%rsp, %rbp
100003f84:	48 83 ec 10	subq	$16, %rsp
100003f88:	c7 45 fc 00 00 00 00	movl	$0, -4(%rbp)
100003f8f:	c7 05 67 40 00 00 15 00 00 00	movl	$21, 16487(%rip)
100003f99:	c7 05 5d 40 00 00 14 00 00 00	movl	$20, 16477(%rip)
100003fa3:	e8 b8 ff ff ff	callq	_test
100003fa8:	e8 c3 ff ff ff	callq	_test_1
100003fad:	31 c0	xorl	%eax, %eax
100003faf:	48 83 c4 10	addq	$16, %rsp
100003fb3:	5d	popq	%rbp
100003fb4:	c3	retq

mac OS 是小端。  地址从右到左查看 。  右是高位

 

DWARF与DSYM

dsym 文件就是保存按照DWARF格式保存的调试信息的文件 。 

dwarf 是一种被众多编译器和调试器使用的用于支持源码代码级别调试的调试文件格式。 

dsym文件的生成过程：

1. 读取debug map 

2. 从.o文件中加载 dwarf 

3. 重新定位所有的地址

4. 最后将全部的 dwarf 打包成 dsym bundle 

生成调试信息命令

clang -g -c test.m -o test.o

理解第2步的过程: 终端命令 查看 test.o 

otool -l test.o

结果：  下面就有dwarf 字段 。 

Load command 0
      cmd LC_SEGMENT_64
  cmdsize 1112
  segname 
   vmaddr 0x0000000000000000
   vmsize 0x00000000000004c9
  fileoff 1272
 filesize 1225
  maxprot 0x00000007
 initprot 0x00000007
   nsects 13
    flags 0x0
Section
  sectname __text
   segname __TEXT
      addr 0x0000000000000000
      size 0x0000000000000055
    offset 1272
     align 2^4 (16)
    reloff 2500
    nreloc 4
     flags 0x80000400
 reserved1 0
 reserved2 0
Section
  sectname __data
   segname __DATA
      addr 0x0000000000000058
      size 0x0000000000000004
    offset 1360
     align 2^2 (4)
    reloff 0
    nreloc 0
     flags 0x00000000
 reserved1 0
 reserved2 0
Section
  sectname __objc_imageinfo
   segname __DATA
      addr 0x000000000000005c
      size 0x0000000000000008
    offset 1364
     align 2^0 (1)
    reloff 0
    nreloc 0
     flags 0x10000000
 reserved1 0
 reserved2 0
Section
  sectname __debug_str
   segname __DWARF
      addr 0x0000000000000064
      size 0x0000000000000111
    offset 1372
     align 2^0 (1)
    reloff 0
    nreloc 0
     flags 0x02000000
 reserved1 0
 reserved2 0
Section
  sectname __debug_abbrev
   segname __DWARF
      addr 0x0000000000000175
      size 0x0000000000000061
    offset 1645
     align 2^0 (1)
    reloff 0
    nreloc 0
     flags 0x02000000
 reserved1 0
 reserved2 0
Section
  sectname __debug_info
   segname __DWARF
      addr 0x00000000000001d6
      size 0x0000000000000093
    offset 1742
     align 2^0 (1)
    reloff 2532
    nreloc 5
     flags 0x02000000
 reserved1 0
 reserved2 0
Section
  sectname __apple_names
   segname __DWARF
      addr 0x0000000000000269
      size 0x0000000000000090
    offset 1889
     align 2^0 (1)
    reloff 0
    nreloc 0
     flags 0x02000000
 reserved1 0
 reserved2 0
Section
  sectname __apple_objc
   segname __DWARF
      addr 0x00000000000002f9
      size 0x0000000000000024
    offset 2033
     align 2^0 (1)
    reloff 0
    nreloc 0
     flags 0x02000000
 reserved1 0
 reserved2 0
Section
  sectname __apple_namespac
   segname __DWARF
      addr 0x000000000000031d
      size 0x0000000000000024
    offset 2069
     align 2^0 (1)
    reloff 0
    nreloc 0
     flags 0x02000000
 reserved1 0
 reserved2 0
Section
  sectname __apple_types
   segname __DWARF
      addr 0x0000000000000341
      size 0x0000000000000047
    offset 2105
     align 2^0 (1)
    reloff 0
    nreloc 0
     flags 0x02000000
 reserved1 0
 reserved2 0

如果是查看可执行文件，是找不到drarf字段的， 他会单独放在一个地方 ，通过命令查看：

nm -pa 可执行命令文件名
如：
nm -pa test

生成dsym文件命令：

clang -g1 test.m -o test

查看 dsym 命令：

dwarfdump test.dSYM

dsym 内文件中保存的是没有偏移的虚拟地址，所以能够进行bug的现场恢复。 

 

计算虚拟地址 

ViewController.m文件如下：  

1. 获取 ASLR  

2. 计算虚拟地址 。 

#import "ViewController.h"
#import <mach-o/dyld.h>
#import <mach-o/getsect.h>
#import <objc/runtime.h>

@interface ViewController ()

@end

@implementation ViewController

// 获取ASLR
uintptr_t get_slide_address(void) {
    uintptr_t vmaddr_slide = 0;
    // 使用的所有的二进制文件 = ipa + 动态库
    // ASLR Macho 二进制文件 image 偏移
    for (uint32_t i = 0; i < _dyld_image_count(); i++) {
        // 遍历的是那个image名称
        const char *image_name = (char *)_dyld_get_image_name(i);
        const struct mach_header *header = _dyld_get_image_header(i);
        if (header->filetype == MH_EXECUTE) {
            vmaddr_slide = _dyld_get_image_vmaddr_slide(i);
        }
        NSString *str = [NSString stringWithUTF8String:image_name];
       
        if ([str containsString:@"TestInject"]) {
                   
              NSLog(@"Image name %s at address 0x%llx and ASLR slide 0x%lx.\n", image_name, (mach_vm_address_t)header, vmaddr_slide);
                   break;
          }
    }
    
    // ASLR返回出去
    return (uintptr_t)vmaddr_slide;
}



- (void)viewDidLoad {
    [super viewDidLoad];
    [self getMethodVMA];
    dispatch_after(dispatch_time(DISPATCH_TIME_NOW, (int64_t)(2 * NSEC_PER_SEC)), dispatch_get_main_queue(), ^{
        [self test_dwarf];
    });
    NSLog(@"123");
}

- (void)test_dwarf {
    NSArray *array = @[];
    array[1];
}

- (void)getMethodVMA {
    // 运行中的地址（偏移）
    IMP imp = (IMP)class_getMethodImplementation(self.class, @selector(test_dwarf));
    unsigned long imppos = (unsigned long)imp;
    unsigned long slide =  get_slide_address();
    // 运行中的地址（偏移） - ASLR = 真正的虚拟内存地址
    unsigned long addr = imppos - slide;
}
@end

注意: 需要在building setting里面打开生成dysm文件的配置 。  debug默认不生成这个文件 。 

xcode 终端格式输入十六进制   lldb调试输入

e -f x -- 计算出的虚拟内存地址 

结论： 

使用的所有的二进制文件 = ipa + 动态库

 ASLR Macho 二进制文件 image 偏移

 

 

dyld学习 - 后期通过源码深入学习 

dyld 调试：

方式一： 如果想调试dyld的源代码，需要准备带调试信息dyld/libdyld.dylib/libclosured.dylib，与系统做替换，风险比较大。 

方式二 ： 通过在dyld文件上设置断点。  设置断点的方法有两种。 

lldb保留了一个库列表(白名单), 避免在按名称设置短点时出现问题， 而 dyld 正好在这个名单上，所以需要强制设置短点， 方式如下两种： 

-s 含义： 指定在哪个文件里面设置断点。 

1. br set -n dyldbootstrap::start -s dyld 

2. set set target.breakpoints-use-platform-avoid-list 0   （通过lldb）

终端输入： 打印dyld所有的调用过程 、 其他配置自行查询实践。 

 DYLD_PRINT_APIS=1 ./ 可执行文件
如：

 DYLD_PRINT_APIS=1 ./test

 

dyld 到底做了什么？

dyld: 动态链接程序

libdyld.dylib :给我们的程序提供在runtime期间能使用动态链接功能。 

具体执行步骤如下： 

插入动态库与插入函数： hook 

插入函数 ： 

__attribute__((used))  : 去除未使用的代码的警告，加在最前面 。 

__attribute__((used)) static struct {
    const void* replacement;
    const void* replacee;
} _interpose_NSLog __attribute__ ((section("__DATA, __interpose"))) = { (const void*) (unsigned long) &my_NSLog, (const void*) (unsigned long) &NSLog };;

 

iOS_developer_zhong
关注
专栏目录
IOS逆向学习-Mach-o
yong_19930826的博客
03-18 574
IOS逆向学习-Mach-o 可以分析以下苹果框架的方法调用流程， 可以看一些伪代码 ，大概知道调用过程 还是比较实用的 遗留问题解决： 资源在文件夹课件中 在我们需要往app中添加一些控件来调试app时，如果你创建一个对象不成功，可能是当前对象对应的framework动态库没有被导入到app中，这时候可能需要你先导入动态链接库，然后在创建对象试试 系统动态库的Mach-o文件位置（UIKit为例） ...
编写一个watchdog.sh脚本_编写 LLDB 调试器脚本
weixin_39815435的博客
11-26 183
LLDB 调试器提供对 Python 脚本的支持，可以执行一些自动化的操作，提供工作效率。本文从 HelloWorld 开始学习如何编写 LLDB 脚本。编写第一个 LLDB 脚本下面我们来实际操作编写 LLDB 调试器脚本。在计算机上建立一个目录用于存脚本文件，比如我们在 /Users/exchen/lldb 这个目录下操作，新建一个 HelloWorld.py 的文件，输入下面的代码...
iOS 出现dyld: dyld_sim not compatible mach-o？
桥边风满袖的博客
01-05 4495
错误原因： 在于AppDelegate中didFinishLaunchingWithOptions未定义rootViewController，Xcode7规定必须要有rootViewController。 解决办法： UIViewController*emptyView=[[UIViewControlleralloc]initNibName:nilbundle:nil
Mach-O在内存中符号表地址、字符串表地址的计算
ting2909的博客
09-27 822
KSCrash 是一个用于 iOS 平台的崩溃捕捉框架，最近读了其部分源码，在 KSDynamicLinker 文件中有一个函数，代码如下： /** Get the segment base address of the specified image. * This is required for any symtab command offsets. @param idx The i...
Mach-0符号表
yes16ws的专栏
01-20 2932
ABI Mach-O Mach-O(Mach Object) 是MacOS、iOS，iPadOS存储程序和库的文件格式。对应系统通过应用二进制接口（application binary interface，缩写ABI）来运行改格式的文件。 Mach-O格式用来替代BSD系统的a.out格式。Mach-O文件格式保存了在编译过程和链接过程中产生机器代码和数据。从而为静态链接和动态链接的代码提供了单一文件格式。 段之前始终是4096字节或者4KB的倍数，其中4096字节是最小大小。 现在短是16
IOS安全、逆向、反编译5-Mach-O
12-27 2129
逆向App的基本步骤 界面分析 Cycript、Reveal 代码分析 对Mach-O文件的静态分析 MachOView、class-dump、Hopper Disassembler、ida等 动态调试 对运行中的APP进行代码调试 debugserver、LLDB 4.代码编写 注入代码到APP中 必要时还可能需要重新签名、打包ip ...
iOS 底层探索篇 —— dyld加载流程（上）
LinShunIos的博客
07-08 718
iOS 底层探索篇 —— dyld加载流程1. 应用程序加载1.1库1.2 编译过程1.3 DYLD（链接器）1.4 APP 启动流程2. dyld探索 1. 应用程序加载 1.1库 每个程序的运行都会依赖一些基础的库，比如说UIKit，CoreFoundation等，库是一些可执行的二进制文件，能被操作系统加载到内存中。库有两种形式，就是静态库（.a , .lib）和动态库(.so , .dll)，两个库主要表现在链接的区别。 静态库：静态库在编译时加载，在链接时会完整的复制到可执行文件中，此时的静态
iOS - 启动优化之Clang插桩实现二进制重排
AAjjx的博客
05-26 1970
####请大家认真看完 前言 自从抖音团队分享了这篇 抖音研发实践：基于二进制文件重排的解决方案 APP启动速度提升超15% 启动优化文章后 , 二进制重排优化 pre-main 阶段的启动时间自此被大家广为流传 . 本篇文章首先讲述下二进制重排的原理 , ( 因为抖音团队在上述文章中原理部分大多是点到即止 , 多数朋友看完并没有什么实际收获 ) . 然后将结合 clang 插桩的方式 来实际讲述和演练一下如何解决抖音团队遗留下来的这一问题 : hook Objc_msgSend 无法解决的 纯s
iOS逆向与安全 - 5. Mach-O文件格式
NULLGIRL
03-23 1800
前言 Mach-O文件格式源码 Mach-O苹果官方手册 想要程序跑起来，那么这个可执行文件的格式就需要被当前的操作系统所理解，比如： Linux 操作系统下可执行文件格式是 ELF Windows 的可执行文件格式是 PE32/PE32+ Android 的可执行文件格式是 ELF OSX 和 iOS 的可执行文件格式是 Mach-O 准备工具 ...
【iOS底层】12：dyld应用程序加载
miaocuilin的专栏
07-15 292
前言：从这篇起我们探索下应用程序的加载流程~ 一、库 1.库：可执行的二进制文件，能够被系统加载到内存中。 常规的就是静态库(.a)，动态库(.dylib)。 编译过程流程图： 欠着 静态链接：可能重复加载 动态链接：对内存有优化 2.可执行文件拖入终端可运行。 二、库的加载 dyld链接器！ 链接流程图： 欠着 Runtime _dyld_objc_notify_register() map_images Load_images main函数 三、dyld探
MachO && dyld（三）
Airths 的博客
12-13 1231
目录Data（数据）iOS 系统的懒绑定机制通用二进制文件（多层 MachO 文件） Data（数据） 简介 通过前面对 MachO 文件 Header 和 LoadCommands 的介绍，可知： Header 区域主要用于存储 MachO 文件的一般信息，并且描述了 LoadCommands 区域 而 LoadCommands 区域则详细描述了 Data 区域 如果说 Header 区域和 LoadCommands 区域的主要作用是： ① 让系统内核加载器知道如何读取 MachO 文件 ② 并指定动
10、iOS编译命令小结
Holothurian
09-09 418
生成目标文件： 目标文件包含了机器指令代码、数据、链接时需要的信息、符号表、调试信息、字符串表。 我们需要记录一些clang指令： 1、不指定target时、默认是 Mach-O 64-bit object x86_64: $ clang -x c -g -c main.c -o main.o -x: 指定编译文件语言类型 -g: 生成调试信息 -c: 生成目标文件，只运行preprocess,compile,assemble，不链接 -o: 输出文件 -isysroot: 使用的SDK路径 -I&lt.
iOS逆向之Mach-O文件（上）
iOS-大鑫
05-22 422
本文主要介绍Mach-O文件格式以及通用二进制文件 Mach-O文件概述 Mach-O其实是Mach Object文件格式的缩写，是mac以及iOS上可执行文件的格式， 类似于windows上的PE格式 (Portable Executable ), linux上的elf格式 (Executable and Linking Format) Mach-O是一种用于可执行文件、目标代码、动态库的文件格式。作为a.out格式的替代，Mach-O提供了更强的扩展性。 Mach-O文件格式 常见的Mac
C语言中有符号和无符号的区别（signed与unsigned）
IT日知录
10-04 3010
#include<stdio.h> int main(void) { //数类型 标识符=值 //无符号 unsigned 有符号singend(有符号可以省略) //有符号数是最高位为符号位，0代表正数，1代表负数。 //无符号数最高位不是符号位，而就是数的一部分，无符号数不可能是负数。 //%u——输出unsigned int类型-即表示输出一个无符号十进制整型数据 //% d——输出int类型 signed int a = -10; printf("%d\n", a);
iOS 符号表恢复 & 逆向支付宝
weixin_34415923的博客
08-30 265
推荐序 本文介绍了恢复符号表的技巧，并且利用该技巧实现了在 Xcode 中对目标程序下符号断点调试，该技巧可以显著地减少逆向分析时间。在文章的最后，作者以支付宝为例，展示出通过在 UIAlertView 的 show 方法处下断点，从而获得支付宝的调用栈的过程。 本文涉及的代码也开源在：https://github.com/tobefuturer/restore-symbol，欢迎 Star ...
iOS之深入解析dyld与ObjC关联的底层原理
热门推荐
╰つ栺尖篴夢ゞ
10-22 3万+
App启动与dylb加载 我们知道 dyld 的加载过程，即在 App 启动启动执行 main 函数之前，dylb 主要作了环境变量配置、共享缓存、主程序的初始化、插入动态库、链接主程序、链接动态库、弱符号绑定、执行初始化方法、寻找主程序入口等一系列处理，具体请参考我之前的博客：iOS之深入解析App启动dyld加载流程的底层原理； 在 main 函数执行过程中，当 dyld 加载到开始链接主程序的时候 , 递归调用 recursiveInitialization 函数。 recursiveInitial
iOS逆向之分析工具的安装和使用
╰つ栺尖篴夢ゞ
02-03 5万+
一、逆向 App 总体思路 UI 分析：Cycript 、Reveal； 代码分析： 代码在 Mach-O 文件，所以要对 Mach-O 文件进行静态分析； MachOView、class-dump、Hopper Disassember、ida； 动态调试： 对运行中 App 进行代码调试； debugserver、LLDB； 代码编写： 注入代码到 App 中； 必要时还可能需要重新签名、打包 ipa。 二、MonkeyDev 安装与使用 ① 安装 M
MachO--文件结构详解
weixin_33859844的博客
02-21 1755
概念——什么是MachO？  苹果开发者对它一定不陌生，特别是喜欢逆向的同学，对它的研究更是必不可少。在可安装的每一个.app包中，都有一个与app同名的可执行文件，它可能长这样：（如果你碰到显示为白色的MachO文件，说明当前用户对其没有可执行权限）  MachO其实是Mach Object的缩写，是在Mac以及iOS上可执行的一种文件格式，包括但不限于：可执行文件(.out .o)、动态库、...
iOS安全攻防（二十二）：static和被裁的符号表
念茜的博客
03-18 2万+
static和被裁的符号表为了不让攻击者理清自己程序的敏感业务逻辑，于是我们想方设法提高逆向门槛。本文就介绍一个防御技巧————利用static关键字裁掉函数符号。原理如果函数属性为 static ，那么编译时该函数符号就会被解析为local符号。在发布release程序时（用Xcode打包编译二进制）默认会strip裁掉这些函数符号，无疑给逆向者加大了工作难度。验证写个demo验证一下上述理论，
深入浅出MachO
有价值炮灰
09-19 1791
之前写了一篇[深入浅出ELF][m]，作为姊妹篇这次就来聊聊MacOS的可执行文件格式MachO。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值