fishHook

fishHook是Facebook提供的一个动态修改链接mach-O文件的工具。利用MachO文件加载原理，通过修改懒加载表(Lazy Symbol Pointers)和非懒加载表(Non-Lazy Symbol Pointers)这两个表的指针达到C函数HOOK的目的。
在逆向中经常使用fishHook这个工具。所以在学习过程中，我们重点要了解其原理，这样能够对恶意代码进行有效的防护。
学习fishHook原理,需要了解MatchO相关知识MachO相关知识以及Dyld加载原理dyld简介及加载过程分析。

fish的简单使用

1.下载fishHook源码
2.Xcode新建项目工程,将fishHook拖入工程
3.写代码Hook系统函数NSLog

#import "ViewController.h"
#import "fishhook.h"

@interface ViewController ()

@end

@implementation ViewController

- (void)viewDidLoad {
    [super viewDidLoad];
    // Do any additional setup after loading the view, typically from a nib.
  
    struct rebinding nsLog;
    nsLog.name = "NSLog";
    nsLog.replacement = nNSLog;
    nsLog.replaced = (void *)&oNSLog;
    struct rebinding rebinds[1] = {nsLog};
    rebind_symbols(rebinds, 1);
}
static void (* oNSLog)(NSString *format, ...);
void nNSLog(NSString *format, ...) {
    oNSLog(@"%@",[format stringByAppendingString:@"被HOOK了"]);
}
- (void)touchesBegan:(NSSet<UITouch *> *)touches withEvent:(UIEvent *)event {
    NSLog(@"测试");
}
@end

4.测试结果--hook成功,系统的NSLog被我们自己写的方法替换了。

28FF0AA2DFEFCADE880167B8BBFBFA8D.png

5.修改一下代码,尝试用fishHook来hook自己写的C函数.

void jensen(const char * name){
    printf("%s", name);
}

- (void)viewDidLoad {
    [super viewDidLoad];
    // Do any additional setup after loading the view, typically from a nib.
  
    struct rebinding nsLog;
    nsLog.name = "jensen";
    nsLog.replacement = now_jensen;
    nsLog.replaced = (void *)&ori_jensen;
    struct rebinding rebinds[1] = {nsLog};
    rebind_symbols(rebinds, 1);
    
}
static void (* ori_jensen)(const char * name);
void now_jensen(const char * name) {
    printf("%s hook成功",name);
}
- (void)touchesBegan:(NSSet<UITouch *> *)touches withEvent:(UIEvent *)event {
    jensen("开始\n");
}

6.测试结果--对于我们自己的C函数,fishHook并没有hook成功,还是执行原来的方法。

3E252F1157592EAC06CAC3A64BFB18AD.png

疑问:为什么fishHook能Hook系统的c函数NSLog,不能Hook我们自己写的函数呢?
这跟dyld加载原理以及MatchO文件有关系,接下来我们带着这个问题进行分析。

fishHook原理

1.共享缓存库
在iOS or Mac系统中，几乎所有的程序都会用到动态库，而动态库在加载的时候都需要用dyld（位于/usr/lib/dyld）程序进行链接。很多系统库几乎都是每个程序都要用到的，如果在每个程序运行的时候在一个一个将这些动态库都加载进来，不仅耗费内存,而且耗时。为了降低内存，提高性能,苹果引入了共享缓存库,用来存储系统的库。
Mac下的共享缓存库位置:/private/var/db/dyld/
iOS下的共享缓存库位置:/System/Library/Caches/com.apple.dyld/”
文件名都是以“dyld_shared_cache_”开头，再加上这个dyld缓存文件所支持的指令集。

2.PIC技术(位置独立代码)
我们都知道C语言是静态的,也就是说,在编译的时候就已经确定了函数的地址。而系统的函数由于共享缓存库的存在,必须是dyld加载的时候(运行时)才能确定,这明显存在矛盾。为了解决这个问题,苹果针对Mach-O文件提供了一种PIC技术,即在MatchO的_Data段中添加懒加载表(Lazy Symbol Pointers)和非懒加载表(Non-Lazy Symbol Pointers)这两个表,让系统的函数在编译的时候先指向懒加载表(Lazy Symbol Pointers)或非懒加载表(Non-Lazy Symbol Pointers)中的符号地址,这两个表中的符号的地址的指向在编译的时候并没有指向任何地方,app启动,被dyld加载到内存,就进行链接, 给这2个表赋值动态缓存库的地址进行符号绑定。

3.在上述的代码Hook之前加上 NSLog(@"开始")

#import "ViewController.h"
#import "fishhook.h"

@interface ViewController ()

@end

@implementation ViewController

- (void)viewDidLoad {
    [super viewDidLoad];
    // Do any additional setup after loading the view, typically from a nib.
    
    NSLog(@"开始");
    
    struct rebinding nsLog;
    nsLog.name = "NSLog";
    nsLog.replacement = nNSLog;
    nsLog.replaced = (void *)&oNSLog;
    struct rebinding rebinds[1] = {nsLog};
    rebind_symbols(rebinds, 1);
}
static void (* oNSLog)(NSString *format, ...);
void nNSLog(NSString *format, ...) {
    oNSLog(@"%@",[format stringByAppendingString:@"被HOOK了"]);
}
- (void)touchesBegan:(NSSet<UITouch *> *)touches withEvent:(UIEvent *)event {
    NSLog(@"测试");
}
@end

首先使用image list指令,查看MatchO的首地址

0.png

使用MatchOView查看MatchO懒加载表中的NSLog符号在文件中的偏移值

2676486F3760F7C3BAF213B5BC0B32F0.png
1.png
2.png
3.png

分别查看NSLog执行之前,执行了NSLog,被Hook以后这三个时刻,懒加载表中NSLog符号指向的地址。
总结: fishHook其实就是修改懒加载表(Lazy Symbol Pointers)、非懒加载表(Non-Lazy Symbol Pointers)中的符号地址的指向，从而达到hook的目的。

通过NSLog字符串,fish是如何找到NSLog对应的符号表的呢？

687474703a2f2f692e696d6775722e636f6d2f4856587148437a2e706e67.png