HOOK概述
HOOK，中文译为“挂钩”或“钩子”。在iOS逆向中是指改变程序运行流程的一种技术。通过hook可以让别人的程序执行自己所写的代码。在逆向中经常使用这种技术。
HOOK示意图
图1
iOS中HOOK技术的几种方式
1.Method Swizzel
利用OC的Runtime特性，动态改变SEL（方法编号）和IMP（方法实现）的对应关系，达到OC方法调用流程改变的目的。主要用于OC方法。
在OC中，SEL 和 IMP 之间的关系，就好像一本书的“目录”。SEL是方法编号，就像“标题”一样。IMP是方法实现的真实地址，就像“页码”一样（图2）。他们是一一对应的关系。Runtime提供了交换两个SEL和IMP对应关系的函数（图3）。通过这个函数交换两个SEL和IMP对应关系的技术，我们称之为MethodSwizzle（方法欺骗）。
图2
图3
2.Cydia Substrate
Cydia Substrate 原名为 Mobile Substrate ，它的主要作用是针对OC方法、C函数以及函数地址进行HOOK操作。当然它并不是仅仅针对iOS而设计的，安卓一样可以用。官方地址：http://www.cydiasubstrate.com/。顾名思义用于HOOK。它定义一系列的宏和函数，底层调用objc的runtime和fishhook来替换系统或者目标应用的函数，其中有两个函数:
MSHookMessageEx 主要作用于Objective-C方法voidMSHookMessageEx(Class class, SEL selector, IMPreplacement, IMP result)。
MSHookFunction 主要作用于C和C++函数voidMSHookFunction(voidfunction,void* replacement,void** p_original) , Logos语法的%hook 就是对此函数做了一层封装。
3.fishhook
它是Facebook提供的一个动态修改链接mach-O文件的工具。利用MachO文件加载原理，通过修改懒加载和非懒加载两个表的指针达到C函数HOOK的目的。学习fishHook原理,需要了解MatchO相关知识MachO相关知识以及Dyld加载原理dyld简介及加载过程分析。
1.下载fishHook源码
2.Xcode新建项目工程,将fishHook拖入工程
3.写代码Hook系统函数NSLog
#import "ViewController.h"
#import "fishhook.h"
@interface ViewController ()
@end
@implementation ViewController
- (void)viewDidLoad {
[super viewDidLoad];
//rebinding结构体
struct rebinding nslog;
nslog.name = "NSLog";//需要替换的函数名称
nslog.replacement = myNSLog;//新的函数地址
nslog.replaced = (void *)&sys_nslog;//原始函数指针
//定义数组!里面放rebinding结构体 struct rebinding rebs[1] = {nslog}; /** 用于重新绑定符号 * arg1: 存放rebinding结构体的数组 * arg2: 数组的长度 */ rebind_symbols(rebs, 1);
}
//函数指针，用来保存原始的函数地址
static void(*sys_nslog)(NSString *format, ...);
//定义一个新的函数
void myNSLog(NSString *format, ...){
format = [format stringByAppendingString:@"\n勾上了！！"]; //由于需要使用NSLog内部实现，所以保留原始调用 sys_nslog(format);
}
-(void)touchesBegan:(NSSet<UITouch *> *)touches withEvent:(UIEvent *)event{
NSLog(@"点击了屏幕！！");
}
点击屏幕--hook成功,系统的NSLog被我们自己写的方法替换了（图4）：
图四
那么HOOK自己自定义的C函数方法呢，就会发现HOOK不成功（图5）：
图5
带着疑问为什么fishHook能够hook到系统的C函数，而自己定义的C函数就不行了呢？这跟dyld加载原理以及MatchO文件有关系。
fishHook原理
1.共享缓存库
在iOS or Mac系统中，几乎所有的程序都会用到动态库，而动态库在加载的时候都需要用dyld（位于/usr/lib/dyld）程序进行链接。很多系统库几乎都是每个程序都要用到的，如果在每个程序运行的时候在一个一个将这些动态库都加载进来，不仅耗费内存,而且耗时。为了降低内存，提高性能,苹果引入了共享缓存库,用来存储系统的库。
Mac下的共享缓存库位置:/private/var/db/dyld/
iOS下的共享缓存库位置:/System/Library/Caches/com.apple.dyld/”
文件名都是以“dyld_shared_cache_”开头，再加上这个dyld缓存文件所支持的指令集。
2.PIC技术（位置独立代码）
C语言是静态的,也就是说,在编译的时候就已经确定了函数的地址。而系统的函数由于共享缓存库的存在,必须是dyld加载的时候(运行时)才能确定,这明显存在矛盾。为了解决这个问题,苹果针对Mach-O文件提供了一种PIC技术,即在MatchO的_Data段中添加懒加载表(Lazy Symbol Pointers)和非懒加载表(Non-Lazy Symbol Pointers)这两个表,让系统的函数在编译的时候先指向懒加载表(Lazy Symbol Pointers)或非懒加载表(Non-Lazy Symbol Pointers)中的符号地址,这两个表中的符号的地址的指向在编译的时候并没有指向任何地方,app启动,被dyld加载到内存,就进行链接, 给这2个表赋值动态缓存库的地址进行符号绑定。（简称符号表：字符是函数名称，值是函数地址）。
3.拓展分析
将代码改为图6所示：
图6
然后用image list 命令查看MachO首地址，如图7：
图7
使用MatchOView查看MatchO懒加载表中的NSLog符号在文件中的偏移值，如图8：
图8
如果在NSLog(@"123")打断点的话，用（x MachO首地址+方法偏移地址）指令 拿到了NSLog方法在符号表中的实际地址，然后通过（dis -s 字符地址）查看地址对应的字符（方法名），如图9所示：
图9
可以发现010012e94c内没有方法字符，为什么呢？因为NSLog在Foundation中是懒加载的，在它执行之前打断点是没被加载进去符号表，可见010012e94c地址不是真实地址，也没有对应的方法符号。那么在NSLog执行之后会出现什么情况呢？如图10：
图10
好明显执行了NSLog之后，地址变成了018abdf44c。这地址能够查到对应的NSLog方法符号，说明了NSLog调用之后才进去了符号表，这就跟懒加载一样的了。那么，我们在fishHook之后打断点呢，变化如图11所示：
图11
好明显，经过HOOK操作，在NSLog符号上指向的地址由018abdf44c变成了010012dc68，而010012dc68地址指向的就是myNSLog符号,就这样实现了方法得互换。
总结: fishHook其实就是修改懒加载表(Lazy Symbol Pointers)、非懒加载表(Non-Lazy Symbol Pointers)中的符号地址的指向，从而达到hook的目的。
补充：
通过NSLog字符串,fish是如何找到NSLog对应的符号表的呢？如图12：
图12
网友评论