iOS逆向-Hook(VI)

HOOK，中文译为“挂钩”或“钩子”。在iOS逆向中是指改变程序运行流程的一种技术。通过hook可以让别人的程序执行自己所写的代码。

iOS中HOOK技术的几种方式

1、Method Swizzle
利用OC的Runtime特性，动态改变SEL（方法编号）和IMP（方法实现）的对应关系，达到OC方法调用流程改变的目的。主要用于OC方法。
2、fishhook
它是Facebook提供的一个动态修改链接mach-O文件的工具。利用MachO文件加载原理，通过修改懒加载和非懒加载两个表的指针达到C函数HOOK的目的。
fishhook代码地址
关键函数

//用来重新绑定符号表的函数，使用它来交换
FISHHOOK_VISIBILITY
int rebind_symbols(struct rebinding rebindings[], size_t rebindings_nel);

参数一 存放rebinding结构体的数组（可以同时交换多个函数）
参数二 rebindings数组的长度

struct rebinding {
  const char *name;//需要HOOK的函数名称，C字符串
  void *replacement;//新函数的地址
  void **replaced;//原始函数地址的指针！
};

Hook系统函数NSLog
新建一个项目，将fishhook.c和fishhook.h拖到项目中，然后添加如下代码

#import "ViewController.h"
#import "fishhook.h"

@interface ViewController ()

@end

@implementation ViewController

- (void)viewDidLoad {
    [super viewDidLoad];
    //rebinding结构体
    struct rebinding nslog;
    nslog.name = "NSLog";
    nslog.replacement = myNslog;
    nslog.replaced = (void *)&sys_nslog;
    //rebinding结构体数组
    struct rebinding rebs[1] = {nslog};
    /**
     * 存放rebinding结构体的数组
     * 数组的长度
     */
    rebind_symbols(rebs, 1);
}
//---------------------------------更改NSLog-----------
//函数指针
static void(*sys_nslog)(NSString * format,...);
//定义一个新的函数
void myNslog(NSString * format,...){
    format = [format stringByAppendingString:@"勾上了！\n"];
    //调用原始的
    sys_nslog(format);
}

-(void)touchesBegan:(NSSet<UITouch *> *)touches withEvent:(UIEvent *)event
{
    NSLog(@"点击了屏幕！！");
}

点击屏幕可以看到hook成功
hook自定义函数

#import "ViewController.h"
#import "fishhook.h"

@interface ViewController ()

@end

@implementation ViewController

void func(const char * str){
    NSLog(@"%s",str);
}

- (void)viewDidLoad {
    [super viewDidLoad];
    //rebinding结构体
    struct rebinding nslog;
    nslog.name = "func";
    nslog.replacement = new_func;
    nslog.replaced = (void *)&old_func;
    //rebinding结构体数组
    struct rebinding rebs[1] = {nslog};
    /**
     * 存放rebinding结构体的数组
     * 数组的长度
     */
    rebind_symbols(rebs, 1);
}

//函数指针
static void(*old_func)(const char * str);
//定义一个新的函数
void new_func(const char * str){
      NSLog(@"%s + 1",str);
}

-(void)touchesBegan:(NSSet<UITouch *> *)touches withEvent:(UIEvent *)event
{
    func("哈哈");
}

@end

点击屏幕，可以看到并没有hook成功，为什么fishhook可以hook系统的函数，对自定义函数确hook不成功？next ⬇

在分析fishhook原理前，我们先来想两个问题：
1. Mach-O文件是被谁加载的？
我们知道，在程序启动的时候 Mach-O 文件会被 DYLD （动态加载器）加载进内存。加载完 Mach-O 后，DYLD接着会去加载 Mach-O 所依赖的动态库。

2. 何为ASLR技术？
地址空间布局随机化。它会让 Mach-O 文件加载的时候是随机地址。有了这个技术，Mach-O 文件每次加载进内存的时候地址都是不一样的。主要是为了防止逆向技术。

Mach-O 文件里只有我们自己写的函数，系统的动态库的函数是不在 Mach-O 文件里的。也就是说每次启动从 Mach-O 文件到系统动态库函数的偏移地址都是变化的。

问题

那么我们如何在 Mach-O 文件里找到系统的函数地址呢？或者说 Mach-O 文件是如何链接外部函数的呢？

我们程序的底层都是汇编，汇编代码都是写死的内存地址。我们该怎么找呢？而且系统的动态库在内存里面的地址是不固定的，每次启动程序的时候地址都是随机的。

苹果为了能在 Mach-O 文件中访问外部函数，采用了一个技术，叫做PIC（位置代码独立）技术。
当你的应用程序想要调用 Mach-O 文件外部的函数的时候，或者说如果 Mach-O 内部需要调用系统的库函数时，Mach-O 文件会：

  1. 先在 Mach-O 文件的 _DATA 段中建立一个指针（8字节的数据，放的全是0），这个指针变量指向外部函数。
  2. DYLD 会动态的进行绑定！将 Mach-O 中的 _DATA 段中的指针，指向外部函数。

所以说，C的底层也有动态的表现。C在内部函数的时候是静态的，在编译后，函数的内存地址就确定了。但是，外部的函数是不能确定的，也就是说C的底层也有动态的。fishhook 之所以能 hook C函数，是利用了 Mach-O 文件的 PIC 技术特点。也就造就了静态语言C也有动态的部分，通过 DYLD 进行动态绑定的时候做了手脚。

我们经常说符号，其实_DATA 段中建立的指针就是符号。fishhook的原理其实就是，将指向系统方法（外部函数）的符号重新进行绑定指向内部的函数。这样就把系统方法与自己定义的方法进行了交换。这也就是为什么C的内部函数修改不了，自定义的函数修改不了，只能修改 Mach-O 外部的函数。

验证

接下来我们以 NSLog 为例，看 fishhook 是如何通过修改懒加载和非懒加载两个表的指针达到C函数HOOK的目的。（NSLog 是在懒加载表里）

对于非懒加载符号表，DYLD会立刻马上去链接动态库
对于懒加载符号表，DYLD会在执行代码的时候去动态的链接动态库

1. 在上面Hook的代码里面加上NLog,然后挂上断点，先Command+B编译一下，获取到MachO文件，用MachOView工具查看，如下图所示，NSLog的偏移地址0xC000

2. 运行demo，LLDB输入image list 查看MachO文件的首地址,如下图所示


3. 查看符号表绑定的地址

(lldb) x 0x0000000100508000+0xC000
0x100514000: 80 e5 50 00 01 00 00 00 c8 29 2d a1 01 00 00 00  ..P......)-.....
0x100514010: 44 df f1 a4 01 00 00 00 10 e6 50 00 01 00 00 00  D.........P.....

4. 反汇编看一下地址的值

(lldb) dis -s 0x010050e580
    0x10050e580: ldr    w16, 0x10050e588
    0x10050e584: b      0x10050e568
    0x10050e588: udf    #0x0
    0x10050e58c: ldr    w16, 0x10050e594
    0x10050e590: b      0x10050e568
    0x10050e594: udf    #0xd
    0x10050e598: ldr    w16, 0x10050e5a0
    0x10050e59c: b      0x10050e568

可以看到该地址并不是指向NSLog
5. 单步执行,过掉NSLog,再次查看偏移地址的值

(lldb) x 0x0000000100508000+0xC000
0x100514000: 40 d9 2d a1 01 00 00 00 c8 29 2d a1 01 00 00 00  @.-......)-.....
0x100514010: 44 df f1 a4 01 00 00 00 10 e6 50 00 01 00 00 00  D.........P.....
(lldb) dis -s 0x01a12dd940
Foundation`NSLog:
    0x1a12dd940 <+0>:  sub    sp, sp, #0x20             ; =0x20 
    0x1a12dd944 <+4>:  stp    x29, x30, [sp, #0x10]
    0x1a12dd948 <+8>:  add    x29, sp, #0x10            ; =0x10 
    0x1a12dd94c <+12>: adrp   x8, 248015
    0x1a12dd950 <+16>: ldr    x8, [x8, #0x958]
    0x1a12dd954 <+20>: ldr    x8, [x8]
    0x1a12dd958 <+24>: str    x8, [sp, #0x8]
    0x1a12dd95c <+28>: add    x8, x29, #0x10            ; =0x10

可以看到，这个时候 Mach-O 文件的_DATA 段中建立的指针已经指向了外部函数NSLog。
这个真实的函数地址是什么时候保存进去的呢？并不是 Mach-O 文件加载进内存的时候保存的。由于 NSLog 在懒加载符号表里面，所有它是在整个 Mach-O 文件启动之后，代码第一次运行 NSLog 时，由 DYLD 绑定该 NSLog 符号指向真实的 NSLog 的地址。

NSLog 懒加载符号表在内存中的地址 = Mach-O 的偏移地址 + NSLog 懒加载符号表在 Mach-O 的偏移地址

6. 紧接着单步执行，执行完 rebind_symbols(rebs, 1);

(lldb) x 0x0000000100508000+0xC000
0x100514000: a8 d6 50 00 01 00 00 00 c8 29 2d a1 01 00 00 00  ..P......)-.....
0x100514010: 44 df f1 a4 01 00 00 00 94 6b b7 a0 01 00 00 00  D........k......
(lldb) dis -s 0x010050d6a8
fishhookDemo`myNslog:
    0x10050d6a8 <+0>:  sub    sp, sp, #0x30             ; =0x30 
    0x10050d6ac <+4>:  stp    x29, x30, [sp, #0x20]
    0x10050d6b0 <+8>:  add    x29, sp, #0x20            ; =0x20 
    0x10050d6b4 <+12>: mov    x8, #0x0
    0x10050d6b8 <+16>: stur   x8, [x29, #-0x8]
    0x10050d6bc <+20>: sub    x9, x29, #0x8             ; =0x8 
    0x10050d6c0 <+24>: str    x0, [sp, #0x10]
    0x10050d6c4 <+28>: mov    x0, x9

我们发现 Mach-O 文件的_DATA 段中建立的指针已经指向了我们自己定义的内部函数。

fishhook 是如何通过字符串来找到我们的函数的呢?

1. 在懒加载符号表（Lazy Symbol Pointers）中，有个与之一一对应的表(Indirect Symbols),如下图所示


2. 上图的 Data 值，对应的是符号表(Symbol Table)的下标。NSLog 的 `Data 值为0xA1，换成十进制就是161。也就是说 NSLog 这个符号在我们的符号表里面的 index值为161。接着就需要到符号表（Symbols Table）里面找第161个。如下图所示


3. 可以看到NSLog 在 String Table 里面的偏移地址是0xD7,由于String Table的首地址是0x0112E0,所以NSLog的位置就是 0x0112E0+ 0xD7= 0x113B7

_ 是函数的开始，. 是分隔符。5F是从 _开始，往后依次 _NSLog

4. 官方文档的在懒加载和非懒加载符号表里查找一个给定入口的名字的过程，如下图所示


共享缓存机制（了解）
在iOS系统中，每个程序依赖的动态库都需要通过dyld（位于/usr/lib/dyld）一个一个加载到内存，然而如果在每个程序运行的时候都重复的去加载一次，势必造成运行缓慢，为了优化启动速度和提高程序性能，共享缓存机制就应运而生。所有默认的动态链接库被合并成一个大的缓存文件，放到/System/Library/Caches/com.apple.dyld/目录下，按不同的架构保存分别保存着,mac的共享缓存库在/private/var/db/dyld/目录下.
没有动态库缓存的情况

如果没有缓存库存在的话，那么我们手机上的每一个App，如果要用到系统动态库的话，是需要每一个App都要去加载一次的，一样的资源被加载多次，无论是空间还是执行效率，都是造成了浪费
有了动态库缓存的情况

如果有缓存库存在的话，那么我们手机上的每一个App，如果要用到系统动态库的话，都去加载共享缓存库就好了，加载共享缓存库里的动态库会通过dyld这个动态连接器，dyld在加载动态库会做些优化。

3、Cydia Substrate
Cydia Substrate 原名为 Mobile Substrate ，它的主要作用是针对OC方法、C函数以及函数地址进行HOOK操作。当然它并不是仅仅针对iOS而设计的，安卓一样可以用。官方地址：http://www.cydiasubstrate.com/
Cydia Substrate主要由3部分组成：

  • MobileHooker
    顾名思义用于HOOK。它定义一系列的宏和函数，底层调用objc的runtime和fishhook来替换系统或者目标应用的函数.其中有两个函数:
    MSHookMessageEx 主要作用于Objective-C方法
void MSHookMessageEx(Class class, SEL selector, IMP replacement, IMP result)

MSHookFunction 主要作用于C和C++函数

void MSHookFunction(voidfunction,void* replacement,void** p_original)

Logos语法的%hook 就是对此函数做了一层封装

  • MobileLoader
     MobileLoader用于加载第三方dylib在运行的应用程序中。启动时MobileLoader会根据规则把指定目录的第三方的动态库加载进去，第三方的动态库也就是我们写的破解程序.
  • safe mode
    破解程序本质是dylib，寄生在别人进程里。 系统进程一旦出错，可能导致整个进程崩溃,崩溃后就会造成iOS瘫痪。所以CydiaSubstrate引入了安全模式,在安全模 式下所有基于CydiaSubstratede 的三方dylib都会被禁用，便于查错与修复。
最后编辑于 ：
©著作权归作者所有,转载或内容合作请联系作者
  • 人面猴
    序言：七十年代末，一起剥皮案震惊了整个滨河市，随后出现的几起案子，更是在滨河造成了极大的恐慌，老刑警刘岩，带你破解...
    沈念sama阅读 194,242评论 5赞 459
  • 死咒
    序言：滨河连续发生了三起死亡事件，死亡现场离奇诡异，居然都是意外死亡，警方通过查阅死者的电脑和手机，发现死者居然都...
    沈念sama阅读 81,769评论 2赞 371
  • 救了他两次的神仙让他今天三更去死
    文/潘晓璐 我一进店门，熙熙楼的掌柜王于贵愁眉苦脸地迎上来，“玉大人，你说我怎么就摊上这事。” “怎么了？”我有些...
    开封第一讲书人阅读 141,484评论 0赞 319
  • 道士缉凶录：失踪的卖姜人
    文/不坏的土叔 我叫张陵，是天一观的道长。 经常有香客问我，道长，这世上最难降的妖魔是什么？ 我笑而不...
    开封第一讲书人阅读 52,133评论 1赞 263
  • 港岛之恋（遗憾婚礼）
    正文 为了忘掉前任，我火速办了婚礼，结果婚礼上，老公的妹妹穿的比我还像新娘。我一直安慰自己，他们只是感情好，可当我...
    茶点故事阅读 61,007评论 4赞 355
  • 恶毒庶女顶嫁案：这布局不是一般人想出来的
    文/花漫 我一把揭开白布。 她就那样静静地躺着，像睡着了一般。 火红的嫁衣衬着肌肤如雪。 梳的纹丝不乱的头发上，一...
    开封第一讲书人阅读 46,080评论 1赞 272
  • 城市分裂传说
    那天，我揣着相机与录音，去河边找鬼。 笑死，一个胖子当着我的面吹牛，可吹牛的内容都是我干的。 我是一名探鬼主播，决...
    沈念sama阅读 36,496评论 3赞 381
  • 双鸳鸯连环套：你想象不到人心有多黑
    文/苍兰香墨 我猛地睁开眼，长吁一口气：“原来是场噩梦啊……” “哼！你这毒妇竟也来了？” 一声冷哼从身侧响起，我...
    开封第一讲书人阅读 35,190评论 0赞 253
  • 万荣杀人案实录
    序言：老挝万荣一对情侣失踪，失踪者是张志新（化名）和其女友刘颖，没想到半个月后，有当地人在树林里发现了一具尸体，经...
    沈念sama阅读 39,464评论 1赞 290
  • 护林员之死
    正文 独居荒郊野岭守林人离奇死亡，尸身上长有42处带血的脓包…… 初始之章·张勋 以下内容为张勋视角 年9月15日...
    茶点故事阅读 34,549评论 2赞 309
  • 白月光启示录
    正文 我和宋清朗相恋三年，在试婚纱的时候发现自己被绿了。 大学时的朋友给我发了我未婚夫和他白月光在一起吃饭的照片。...
    茶点故事阅读 36,330评论 1赞 326
  • 活死人
    序言：一个原本活蹦乱跳的男人离奇死亡，死状恐怖，灵堂内的尸体忽然破棺而出，到底是诈尸还是另有隐情，我是刑警宁泽，带...
    沈念sama阅读 32,205评论 3赞 312
  • 日本核电站爆炸内幕
    正文 年R本政府宣布，位于F岛的核电站，受9级特大地震影响，放射性物质发生泄漏。R本人自食恶果不足惜，却给世界环境...
    茶点故事阅读 37,567评论 3赞 298
  • 男人毒药：我在死后第九天来索命
    文/蒙蒙 一、第九天 我趴在偏房一处隐蔽的房顶上张望。 院中可真热闹，春花似锦、人声如沸。这庄子的主人今日做“春日...
    开封第一讲书人阅读 28,889评论 0赞 17
  • 一桩弑父案，背后竟有这般阴谋
    文/苍兰香墨 我抬头看了看天上的太阳。三九已至，却和暖如春，着一层夹袄步出监牢的瞬间，已是汗流浃背。 一阵脚步声响...
    开封第一讲书人阅读 30,160评论 1赞 250
  • 情欲美人皮
    我被黑心中介骗来泰国打工， 没想到刚下飞机就差点儿被人妖公主榨干…… 1. 我叫王不留，地道东北人。 一个月前我还...
    沈念sama阅读 41,475评论 2赞 341
  • 代替公主和亲
    正文 我出身青楼，却偏偏与公主长得像，于是被迫代替她去往敌国和亲。 传闻我的和亲对象是个残疾皇子，可洞房花烛夜当晚...
    茶点故事阅读 40,650评论 2赞 335