在日常开发中，我们经常需要hook一些方法，添加一些自己的逻辑，本文将介绍两种动态修改方法实现的手段。
- 动态修改 Objective-C 方法实现
- 动态修改 C 语言函数实现
本文主要从原理的角度来介绍为什么能够动态修改方法实现
主要涉及的知识点：
- Objective-C 消息体系
- Mach-O 格式
- fishhook 原理
0x01. 动态修改 Objective-C 方法实现
1) Objective-C 消息机制简介
先啰嗦一下Objective-C，后面我们再讨论如何修改Objective-C的方法实现
Objective-C是一种通用、高级、面向对象的编程语言。它扩展了标准的ANSI C编程语言，将Smalltalk式的消息传递机制加入到ANSI C中。目前主要支持的编译器有GCC和Clang（采用LLVM作为后端）。
--- 摘自维基百科
维基百科给的解释中给到了三个关键点：
1. 扩展了标准ANSI C
在Objective-C 是C语言的超集, 源代码中可以无缝使用C语言
2. 加入了消息传递机制
在传统面向对象语言中，方法的调用是person.run()的形式，等价于run(this),即此处的run方法指示一个普通的函数，参数为this指针，函数的地址是在编译器确定的，一般来说，一旦编译完成，是无法更改对象的地址的；
而在Objective-C中，方法调用形式如同 [person run]，被称为消息发送，即“对person对象发送run消息”；简单来说，分为以下几步：
-
[person run]会被翻译成objc_msgSend(person, @selector(run)) - 从类
Person的方法列表中查找到run方法的信息（底层是method_t类型），此处信息是个结构体，包含方法名、类型（返回值和参数类型）、指向实际代码的指针
多啰嗦一句，
@selector(run)返回的SEL类型其实是个字符串，Objective-C 方法查找是通过这个字符串匹配查找的，远远没有静态函数的调用高效，所以在源码层添加了一层缓存，缓解了多次查找低效问题
3. 面向对象
面向对象是一个很大的概念，这里不展开，因为C语言不支持对象，Objective-C建立了一套对象体系，Runtime整个对象体系中不可或缺的一环
2) 如何修改Objective-C 方法实现
聊了这么多，回到正题，如何动态修改 Objective-C 方法实现？
上面我们知道，针对[person run]等价于objc_msgSend(person, @selector(run))，从类Person的方法列表中查找到run 方法的信息个结构体，里面包含了指向实际代码的指针，然后进行调用
typedef struct method_t *Method;
struct method_t {
SEL name;
const char *types;
MethodListIMP imp; // 此处是IMP类型，也就是个函数指针
struct SortBySELAddress :
public std::binary_function<const method_t&,
const method_t&, bool>
{
bool operator() (const method_t& lhs,
const method_t& rhs)
{ return lhs.name < rhs.name; }
};
};
既然是个结构体，我们便有办法修改指向实际代码的指针指向，使指调用到别处
如上代码
我们只要能替换掉imp指针即可！
我们只要能替换掉imp指针即可！
我们只要能替换掉imp指针即可！
Runtime 提供了相应的API，可以很方便的进行替换，这就是我们经常听说的 method swizzle
class_getInstanceMethod 获取Class的实例方法，即“-”号方法，返回Method结构
class_getClassMethod 获取Class的类方法，即“+”号方法，返回Method结构
method_exchangeImplementations 交换方法实现
瞄一眼源代码，也证明了我们的猜测，交换了指针指向
void method_exchangeImplementations(Method m1, Method m2)
{
if (!m1 || !m2) return;
mutex_locker_t lock(runtimeLock);
IMP m1_imp = m1->imp;
m1->imp = m2->imp;
m2->imp = m1_imp;
...
}
示例代码
@implementation ViewController
+ (void)load {
// 找到ViewController 中的实例方法 viewDidLoad的 Method
Method origin = class_getInstanceMethod(self, @selector(viewDidLoad));
// 找到ViewController 中的实例方法 custom_viewDidLoad的 Method
Method custom = class_getInstanceMethod(self, @selector(custom_viewDidLoad));
// 调用Runtime 方法交换实现
method_exchangeImplementations(origin, custom);
}
- (void)viewDidLoad {
[super viewDidLoad];
}
- (void)custom_viewDidLoad {
// 这里可以添加自己的逻辑
[self custom_viewDidLoad];
}
@end
再啰嗦一句，
+ load方法在调用时机在main函数之前，Runtime初始化之后；
Runtime会先调用所有类的+ load方法，然后再调用所有Category的+ load方法，想想一下多个Category的+ load方法中都对同一个方法进行了交换会出现什么问题？
0x02. 动态修改 C 语言函数实现
1. 原理
C语言作为一个很古老的静态编译型语言，代码编译完成后，所有函数调用便固定了，无法进行修改，函数调用，比如run函数仅仅是一个函数指针，函数调用后会跳转到该地址处继续执行而已。
这样看来，动态修改C函数的实现似乎不太可能？
这里我们需要思考一个问题，如下代码中，NSLog这个函数的调用过程是什么？
int main(int argc, const char * argv) {
NSLog(@“%@”, “hello world”);
}
首先，我们需要先搞明白，NSLog函数是在Foundation动态库中定义的，main函数是如何调用到NSLog函数的，函数地址是如何拿到的？
首先，在main函数中的_NSLog符号 和 Foundation 中的NSLog的实际实现需要关联。
- 如果是静态链接，链接器会将
_NSLog符号会直接指向NSLog的实现，这样就跟链接器脱离了关系，即实际指令jmp 0xXXXXXXX，这种情况程序运行过程中是无法进行hook的。 - 如果是动态链接，链接器会将
_NSLog符号和Foundation中的NSLog的具体实现建立某种联系，然后由dyld 帮我们找到Foundation中的实现。
dyld 建立符号和具体实现之间的联系的过程叫做绑定（bind），绑定根据绑定时机又可以分为，启动时绑定和延时绑定：
- 启动时绑定：在程序运行时，dyld 会自动将符号和实现绑定
- 延时绑定：在程序运行后，当符号调用时，会自动跳转到 dyld 的
dyld_stub_binder方法，由 dyld 帮我们找到具体实现
_NSLog和其具体实现就是延时绑定，为了方便解释我做了张图，根据图中数字标识，逐个解释，最终能够了解到main函数是如何找到NSLog地址并跳转的。
符号动态绑定.png
- 源程序被编译器编译成
Mach-O二进制，NSLog(@"%@", @"hello world");被翻译成jmp _NSLog ;[0x100003038] - 在
Section(DATA, __la_symbol_ptr)段，是一张符号和具体地址之间的索引表，表的每一项都指向Section(Text, __stub_helper)一段代码, 该段代码都将跳转到 dylddyld_stub_binder方法，这个方法返回NSLog的实际实现； -
dyld_stub_binder方法符号跟 dyld 中的具体实现是在启动时绑定，这个后面再讲
Section(DATA, __la_symbol_ptr) 这个段是数据段，可读可写，这点很重要
我们可以在程序运行时改变这个表特定的一项的指向，来改变C函数的实现！
我们可以在程序运行时改变这个表特定的一项的指向，来改变C函数的实现！
我们可以在程序运行时改变这个表特定的一项的指向，来改变C函数的实现！
2. 如何实现
假设我们要替换 NSLog 方法的实现，要实现整个过程，我们还要解决几个问题。
1.Section(DATA, __la_symbol_ptr) 表只是一个指针数组，如何知道哪个是 NSLog？
- 我们需要使用
NSLog的字符串来进行索引，如何根据字符串找到相应的符号结构？
我又画了张图...
fishhook原理.png
-
找到
Section(DATA, __la_symbol_ptr)表在indirect symbols表中的起始位置，indirect symbols表中包含符号在Symbol Table中的索引 -
然后由此位置遍历每一项，记录当前位置 A ，找到的 A 位置的符号在
String Table索引，然后取出索引处的字符串跟我们需要的函数名比较，如果相等，则 A 就是我们要找的位置。 -
我们修改
Section(DATA, __la_symbol_ptr)位置 A 出的指针指向即可。
图中使用到的段简介，深入了解请自行搜索 Mach-O
Section(DATA, __la_symbol_ptr)表中是一个指针数组，每个项都指向一段代码；Symbol Table程序内所有符号indirect symbols表包含该 Mach-O 所有动态符号在Symbol Table中的索引；其中依赖的动态符号分布在三个段
Section(DATA, __la_symbol_ptr)延时绑定的符号Section(DATA, __nl_symbol_ptr)启动时绑定的符号，主要是函数符号Section(DATA, got)启动时绑定的符号，但包含的主要是静态变量和汇编符号String Table包含程序内的所有字符串，包含符号名等
附一个具体的 Mach-O 结构图
macho.png
至此，动态修改 C 函数实现的原理部分就介绍完毕了
再啰嗦一句，只有indirect symbols 表包含的符号才可以进行动态修改实现，这个段的符号都是动态链接的外部符号。
因此，所有静态链接的符号都不适用！ 这就是 fishhook不支持本地符号hook的原因
3. fishhook 简介
Facebook的fishhook便是利用了这个特性，具体代码可以自行查看
先看一眼如何使用
static void (* old_nslog)(NSString *format, ...);
void My_NSLog(NSString *format, ...) {
// 程序会到这里
}
int main(int argc, const char * argv[]) {
struct rebinding binds[1] = {{
"NSLog", //需要替换掉的函数名称
(void *)My_NSLog, //代替的函数指针
(void **)&old_nslog //保留的原指针
}};
rebind_symbols(binds, 1);
NSLog(@"%@%@", @"my name is", @"parkin");
}
网友评论