iOS逆向：Mach-O文件

目录
一，APP从开发到安装的过程
二，class-dump
三，Hopper Disassembler
四，动态库共享缓存
五，Mach-O文件类型
六，Mach-O基本结构

一，APP从开发到安装的过程

1，打包

图解

说明

1>代码会被编译为可执行文件
2>可执行文件的格式为Mach-O

2，安装

图解

说明

1>有证书才能安装
2>手机版本不低于目标版本才能安装

二，class-dump

1，介绍

它能够导出Mach-O文件中所有的.h文件
下载地址：http://stevenygard.com/projects/class-dump

2，使用

将class-dump可执行文件添加到Mac的/usr/local/bin目录下

用爱思助手安装APP

在下载中心中找到ipa文件并解压

在包内容中找到Mach-O文件并拷贝到桌面上

用class-dump导出.h文件：class-dump -H [Mach-O文件路径] -o [.h文件存放路径]

1>从App Store下载的是经过加密的，暂时无法导出（需要先脱壳）

2>自己打的包没有加密，可以导出

三，Hopper Disassembler

1，代码编译过程

图解

说明

1>Mach-O文件中的是机器代码
2>汇编代码和机器代码是一一对应的，所以机器代码能够完全反编译为汇编代码
3>不同的OC代码编译出来的汇编代码可能是一样的，所以汇编代码不能完全反编译为OC代码

2，Hopper工具

介绍

1>它能将Mach-O文件的机器代码反编译为汇编代码和OC伪代码
2>下载地址：http://www.sdifen.com/hopperdisassembler408.html

使用

1>将Mach-O文件拖入其中并选择arm64

2>从App Store下载的是经过加密的，基本无法阅读（需要先脱壳）

3>自己打的包没有加密，可以阅读

4>机器代码，汇编代码，OC伪代码

四，动态库共享缓存

1，动态库存放位置

/System/Library/Frameworks中只有动态库的描述文件

动态库的Mach-O文件存放在/System/Library/Caches/com.apple.dyld中的共享缓存文件里

共享缓存文件是所有APP共用的，这样能够节省内存开销

ARM处理器指令集架构

1>四种架构：armv6，armv7，armv7s，arm64
2>从iPhone5s开始使用arm64架构
3>架构具有向下兼容的特性

2，动态库加载

我们传的是/System/Library/Frameworks路径，系统是如何加载共享缓存文件中动态库的

系统是利用/usr/lib目录下dyld程序来加载的

dyld是dynamic link editor（动态链接编辑器）的缩写（源码地址：https://opensource.apple.com/tarballs/dyld）

3，动态库提取

Hopper能够识别共享缓存文件，将dyld_shared_cache_arm64从iPhone中导出，然后拖入其中

手动从共享缓存文件中提取动态库

1>将dsc_extractor.cpp文件中#if 0上面的代码和#endif注释掉

2>进入dsc_extractor.cpp文件所在的目录，执行：clang++ -o dsc_extractor dsc_extractor.cpp，会生成一个可执行文件

3>将可执行文件和dyld_shared_cache_arm64文件放入同一个目录下，进入该目录执行：./dsc_extractor dyld_shared_cache_arm64 arm64

4>抽取arm64报错，因为从Xcode10开始不能使用dsc_extractor.bundle，但不影响armv7s

五，Mach-O文件类型

1，介绍

Mach-O是Mach Object的缩写，它是Mac和iOS系统上多种文件的存储格式
所有Mach-O格式的文件类型（源码地址：https://opensource.apple.com/tarballs/xnu）

在Xcode中查看target的Mach-O类型（一般无需修改）

2，常见文件类型

MH_OBJECT

1>目标文件（.o）

2>静态库（.a）

MH_EXECUTE：可执行文件

MH_DYLIB：动态库

1>.dylib

2>.framework

MH_DYLINKER：动态链接编辑器

MH_DSYM：符号信息文件（.dSYM）

3，dyld用于加载以下文件

MH_EXECUTE：可执行文件
MH_DYLIB：动态库
MH_BUNDLE：包文件

4，通用二进制文件（universal binary）

介绍

1>不同的设备架构是不一样的，比如：iPhone4是armv7，iPhone5是armv7s，iPhone6是arm64

2>为了让我们开发的APP能够运行在不同的设备上，生成的可执行文件必须包含不同架构的二进制文件，该可执行文件就称为通用二进制文件

3>在设备上运行时只会执行对应架构的代码，不会增加内存的开销

4>因为比单一架构的文件大，所以也被称为“胖二进制文件”（fat binary）