方法hook和函数hook

1.方法hook

先上代码

+ (void)load {
    static dispatch_once_t onceToken;
    dispatch_once(&onceToken, ^{
        Class class = [self class];
        
        SEL originalSelector = @selector(test);
        SEL swizzledSelector = @selector(swizzle_test);
        
        
        Method originalMethod = class_getInstanceMethod(class, originalSelector);
        Method swizzledMethod = class_getInstanceMethod(class, swizzledSelector);
        

        BOOL didAddMethod = class_addMethod(class, originalSelector, method_getImplementation(swizzledMethod), method_getTypeEncoding(swizzledMethod));
        
        if (didAddMethod) {
            class_replaceMethod(class,
                                swizzledSelector,
                                method_getImplementation(originalMethod),
                                method_getTypeEncoding(originalMethod));
        } else {
            method_exchangeImplementations(originalMethod, swizzledMethod);
        }
    });
}

- (void)test {
    NSLog(@"test");
}
- (void)swizzle_test {
    [self swizzle_test];
}

一个方法对应一个sel和imp，方法A的imp指针和方法B的imp指针进行了替换，并且在要替换的方法中调用了一下原来的方法实现。这个也就就是开发中最常用到的方法混淆。

2.函数hook
推荐使用https://github.com/facebook/fishhook 这个库来做函数hook，使用起来简便。内部实现复杂，很强大，源码基本上看不懂。大致原理还是要弄清楚的。例如有2个函数，函数A，函数B，想要将函数A的实现替换为函数B的实现。fishhook的实现大致分为2步，第一步找到目标函数的函数地址。第二步找到函数名，进行比对。匹配成功，替换目标函数地址为自己的函数地址。

struct rebinding {
    const char *name; // 目标函数名
    void *replacement; // 替换函数
    void **replaced; // 二级目标函数指针
};
/*
  struct rebinding rebindings[]:要重新绑定的结构体数组
  rebindings_nel：要重新绑定的函数个数
*/
int rebind_symbols(struct rebinding rebindings[], size_t rebindings_nel);

int rebind_symbols_image(void *header,
                         intptr_t slide,
                         struct rebinding rebindings[],
                         size_t rebindings_nel);

上代码：
示例1：hook Foundation库的NSSetUncaughtExceptionHandler()函数（生效）

static NSUncaughtExceptionHandler *g_vaildUncaughtExceptionHandler;
static void (*ori_NSSetUncaughtExceptionHandler)( NSUncaughtExceptionHandler *_Nullable);

void swizzle_NSSetUncaughtExceptionHandler( NSUncaughtExceptionHandler * handler) {
    g_vaildUncaughtExceptionHandler = NSGetUncaughtExceptionHandler();
    if (g_vaildUncaughtExceptionHandler != NULL) {
        NSLog(@"UncaughtExceptionHandler=%p",g_vaildUncaughtExceptionHandler);
    }
    ori_NSSetUncaughtExceptionHandler(handler);
    g_vaildUncaughtExceptionHandler = NSGetUncaughtExceptionHandler();
}

static void xr_uncaught_exception_handler (NSException *exception) {
    NSLog(@"XX");
}

int main(int argc, const char * argv[]) {
    @autoreleasepool {
        
        rebind_symbols((struct rebinding [1]){"NSSetUncaughtExceptionHandler",swizzle_NSSetUncaughtExceptionHandler,(void *)&ori_NSSetUncaughtExceptionHandler}, 1);
        NSSetUncaughtExceptionHandler(&xr_uncaught_exception_handler);
         [@[] objectAtIndex:1];
        
    }
    return 0;
}

示例2：hook自己的函数（不生效）

void test(void) {
    NSLog(@"test");
}
void swizzle_test(void) {
    NSLog(@"swizzle_test");
}
static void (*funcptr)(void);

int main(int argc, const char * argv[]) {
    @autoreleasepool {
        
        // 初始化一个 rebinding 结构体
        struct rebinding test_rebinding = { "test", swizzle_test, (void *)&funcptr };
        // 将结构体包装成数组，并传入数组的大小，对原符号 open 进行重绑定
        rebind_symbols((struct rebinding[1]){test_rebinding}, 1);
        // 调用原函数
        test();
        
    }
    return 0;
}

函数的hook大致原理和方法hook类似。方法调用其实在运行时也就是转成一个个函数调用。根据方法名（SEL）去查找对应的方法实现的函数地址(IMP)，然后执行该函数。只不过函数和方法的存储空间不一样，查找函数地址的实现方法也就不一样。但是原理是差不多的。

示例2中，发现hook不生效。而示例1中可以。很奇怪。原来fishhook只能hook其他镜像中函数，不可以hook当前镜像（库或可执行文件）中运行的函数。在main函数执行之前，dylb会通过load_images加载项目里所有的镜像。而Foundation库和项目本身分别是两个镜像。所以示例1中hook是Foundation库镜像的函数。而示例2hook的则是本身镜像中的函数。所以也就会不生效。

Snip20170425_14.png

方法hook和函数hook

推荐阅读更多精彩内容