1.入门指令
jz指令:跳转指令,可以理解成如果前面比较指令的比较结果相同则跳转到指定的地址;
jnz指令:与jz指令正好相反,不相等则跳转;
jmp指令:不管任何情况都会进行跳转;
call指令:调用过程指令,一般对应高级语言中的函数调用
2.MacOS目录结构
/usr/bin目录中存放着用户安装的命令行工具;
/etc目录存放着系统的配置信息;
/Applications用用程序目录,存放系统与用户安装的应用程序
/Library系统应用的数据 和 文档信息;
/Network网络邻居虚拟目录;
/System只有一个 Library 子目录,里面存放了系统运行的重要组件,如框架与内核模块,系统内置的第三方程序;
/Users所有用户的主目录;
/Volumes可移动美图,磁盘 dmg镜像的挂载点
3.权限
MacOS 内置staff,wheel,admin三个用户组,所有用户组都属于staff用户组,该组提供了对当前用户自己目录的读写执行权限;
admin用户组允许用户通过sudo命令切换为root用户,默认创建的用户属于admin;
wheel用户组是root用户组,只有uid为0 的root用户才属于该组.
4.系统调用
macOS系统实现了POSIX标准,并扩展了部分内容---加入了MACH-Trap,取名为xnu.
开源地址 : https://opensource.apple.com/source/xnu/
5.进程间通信
5.1
Mach端口(Mach Port)底层的进程间通信方式,消息发送方调用mach_msg_send()发送消息,消息指定了端口号,消息类型,及内容;接收方调用mach_msg_receive()接受指定端口的消息,上层CoreFoundation 提供了CFMachPort,及Foundation童工的NSMachPort对Mach端口进行封装;
5.2分布式通知(Distributed Notifications),NSDistributedNotificationCenter(注册通知),NSDistributedNotification(接收通知),发送分布式通知,非常消耗资源,频繁发送,应考虑其他方式;
5.3NSConnection注册,接收;
5.4XCP使用最广泛,NSXCPCConnection;
6.安全框架
6.1 CommonCrypto
6.2 Keychain
7.系统安全机制
7.1 FileVault macOS上的磁盘加密技术
7.2 代码签名 查看本机所有签名证书security find-identity -v -p codesigning,签名脚本codesign,查看软件包签名codesign -d -vv 包名.app
7.3 codesign在签名过程中会改写可执行文件,在文件Load Commands中添加一个LC_CODE_SIGNATURE项,里面会写入代码签名的一些信息.
7.4 程序包签名与单独的二进制签名不同,程序包除了可执行文件还包含各种资源图片,和不同语言的文件,程序包中的所有资源文件都会被签名,并新建一个_CodeSignature/CodeResources的文件夹,其中存储着所有文件的签名Hash信息,其本质上就是一个Plist文件
7.5 对于编译好且已经开启PIE的程序,可以通过手动修改头部flags值来去掉PIE属性,从而达到关闭ASLR的目的,
github脚本:https://github.com/sskaje/disable_aslr/blob/master/disable_aslr.py
7.6 沙盒机制
7.7 Rootless 更少的root权限,又称为SIP(System Intergrity Protection 系统完整性保护),通过Rootless系统可以决定即使第三方程序获取了系统Root权限,也不能做一些事情,比如:文件系统保护,运行时保护,内核扩展限制.
7.8 Gatekeeper 守门人,当我们第一次运行Mac的时候,安装从互联网下载的软件时,会提示,不是从AppStore下载的,不允许装载,系统是怎么知道我们的软件时从哪里下载的
从互联网下载的程序会有一个 @ 标签
yangpei1@localhost downLoad % ls -al
total 11907840
drwxr-xr-x 11 yangpei1 staff 352 9 23 10:38 .
drwxr-xr-x 31 yangpei1 staff 992 6 29 09:09 ..
-rw-r--r--@ 1 yangpei1 staff 6148 8 18 16:30 .DS_Store
-rw-r--r--@ 1 yangpei1 staff 6148 6 13 14:35 .DS_Store (1)
-rw-r--r--@ 1 yangpei1 staff 96341959 9 23 10:38 MACOS软件安全与逆向分析.pdf
8.代码编译
整个编译过程如下:
1.检查依赖(Check dependencies),
2.生成辅助文件(Write auxiliary files),
3.编译(CompileC),
4.链接(Ld),
5.生成调试符号(Generate DSYMFile),
6.代码签名(CodeSign).
最后一步是代码签名,没有指定签名证书的情况下,Xcode默认使用adHoc签名.
9.dyld动态库的加载
1.设置运行环境,处理环境变量
2.初始化主程序
3.加载共享缓存
4.加载插入的动态库
5.链接祝程序
6.链接插入动态库
7.执行弱符号绑定
8.执行初始化方法
9.查找入口点并返回
dyld: 当Mach-O映像加载时,dyld首先会检查该Mach-O映像与所需动态库是否在共享缓存中,如果在,直接将它在共享缓存中的内存地址映射到进程的内存地址空间.
