美文网首页iOS开发iOS开发iOS 逆向
iOS堆栈信息解析(Mach-O)

iOS堆栈信息解析(Mach-O)

作者: 龙猫六六 | 来源:发表于2019-01-17 10:26 被阅读53次

    Mach-O文件

    Mach-O格式全称为Mach Object文件格式的缩写

    Mach-O文件类型分类:

    1.Executable:应用可执行的二进制文件,如.m/.h文件经过编译后会生成对应的Mach-O文件
    2.Dylib Library:动态链接库
    3.Static Library:静态链接库
    4.Bundle:不能被链接 Dylib,只能在运行使用dlopen()加载
    5.Relocatable Object File:可重定向文件类型

    Mach-O文件结构

    参考苹果官方文档,Mach-O文件结构由Header,Load Commands,Data三部分组成


    Mach-O结构图.jpg

    Header

    作用:快速确认Mach-O文件的基本信息,如运行环境,Load Commands概述。
    数据结构
    32位架构

    struct mach_header {
        uint32_t    magic;      /* mach magic number identifier */
        cpu_type_t  cputype;    /* cpu specifier */
        cpu_subtype_t   cpusubtype; /* machine specifier */
        uint32_t    filetype;   /* type of file */
        uint32_t    ncmds;      /* number of load commands */
        uint32_t    sizeofcmds; /* the size of all the load commands */
        uint32_t    flags;      /* flags */
    };
    

    64位架构

    struct mach_header_64 {
        uint32_t    magic;      /* mach magic number identifier */
        cpu_type_t  cputype;    /* cpu specifier */
        cpu_subtype_t   cpusubtype; /* machine specifier */
        uint32_t    filetype;   /* type of file */
        uint32_t    ncmds;      /* number of load commands */
        uint32_t    sizeofcmds; /* the size of all the load commands */
        uint32_t    flags;      /* flags */
        uint32_t    reserved;   /* reserved */
    };
    

    magic:确定Mach-O文件运行框架,如64位/32位
    cpu:CPU类型,如arm
    cpusubtype:对应CPU类型的具体型号
    filetype:文件类型
    ncmds:加载命令条数
    sizeofcmds:所有加载命令的大小
    flags:保留字段
    reserved:标志位

    案例说明
    使用MachOView工具查看Mach-O文件,如下图:

    image.png
    Mach-O文件运行基本环境
    • cpu:x86,64位
    • 文件类型:可执行二进制文件
    • LoadCommand:15个LoadCommand,占用大小位1360

    Load commands

    作用:
    Load Commands 加载指令,告诉加载器如何处理二进制数据,处理对方分别为内核,动态链接器等。加载指令紧跟在Header后的加载命令区。Load Commands 加载指令个数及大小在Header中定义( commands 的大小总和即为 Header->sizeofcmds 字段,共有 Header->ncmds 条加载命令)。

    数据结构:
    通用结构

    struct load_command {
        uint32_t cmd;       /* type of load command */
        uint32_t cmdsize;   /* total size of command in bytes */
    };
    
    • cmd:指令类型
    • cmdsize: 指令长度
      Command以LC开发,不同的加载指令有不同的专有结构,但必包含cmd,cmdsize两个字段,用来定义指令类型以及指令长度

    指令类型:
    LC_SEGMENT/LC_SEGMENNT_64

    • 作用:将对应段中的数据加载并映射到进程的内存空间
    • 结构:
    struct segment_command_64 { /* for 64-bit architectures */
        uint32_t    cmd;        /* LC_SEGMENT_64 */
        uint32_t    cmdsize;    /* includes sizeof section_64 structs */
        char        segname[16];    /* segment name */
        uint64_t    vmaddr;     /* memory address of this segment */
        uint64_t    vmsize;     /* memory size of this segment */
        uint64_t    fileoff;    /* file offset of this segment */
        uint64_t    filesize;   /* amount to map from the file */
        vm_prot_t   maxprot;    /* maximum VM protection */
        vm_prot_t   initprot;   /* initial VM protection */
        uint32_t    nsects;     /* number of sections in segment */
        uint32_t    flags;      /* flags */
    };
    

    主要字段介绍:
    cmd:指令类型,LC_SEGMENT_64 (固定)
    cmdsize:指令长度
    segname:段名,如_PAGEZERO(保留数据空间,4g),_TEXT(代码数据),_DATA(函数指针),_LINKDIT(链接数据)
    vmaddr:段的虚拟内存起始地址
    vmsize:段的虚拟内存大小
    fileoff:段在文件中的偏移量
    filesize:段在文件中的大小

    • MachOView实例:


      image.png

    段数据加载并映射到内存过程:从fileo ff处加载file size大小到虚拟内存vmaddr处,并占用虚拟内存大小为vmsize,一般情况下段名_TEXT,_DATA的file size=vmsize;段名_LINKDIT的file size<vmsize(动态链接申请的内存控件要大于文件大小)

    LC_SEGMENT_TEXT

    • 作用:代码段,其中_stub_helper用于关联函数bind/rebind

    LC_SEGMENT_DATA

    • 作用:可读/可写的数据段,函数指针,其中_la_symbol_ptr动态函数个数,及相对动态符号表的偏移量

    LC_SEGMENT_LINKEDIT

    • 作用:动态链接加载指令,支持动态链接dyld,该段长度覆盖符号表等数据(计算链接时程序的基址),符号表,动态符号表,字符串表段中定义的offset偏移量都是基于_LINKEDIT的vm_add
    • 结构:与LC_SEGMENT一致
    • MachOView实例:


      image.png

    LC_SYMTAB

    • 作用:符号表信息,解析函数名
    • 结构:
    struct symtab_command {
        uint32_t    cmd;        /* LC_SYMTAB */
        uint32_t    cmdsize;    /* sizeof(struct symtab_command) */
        uint32_t    symoff;        /* symbol table offset */
        uint32_t    nsyms;        /* number of symbol table entries */
        uint32_t    stroff;        /* string table offset */
        uint32_t    strsize;    /* string table size in bytes */
    };
    
    • 主要字段说明:
      symoff:符号表偏移量,如一个函数对应一个符号
      nsyms:符号表中表个数
      stroff:字符串表偏移量,连续的内存空间用来存储函数名
      strsize:字符串表的大小

    LC_DYSYMTAB

    • 作用:动态符号表信息,地址值为动态函数相对符号表的索引,_la_symbol_ptr对应的cmd可以换算出第一个动态函数对应动态符号表的初始地址,其次存储是连续,结构长度固定的,可以通过遍历获取所有动态函数的对应的符号表索引
    • 结构:
    struct symtab_command {
        uint32_t cmd;    /* LC_DYSYMTAB */
        uint32_t cmdsize;    /* sizeof(struct dysymtab_command) */
        uint32_t indirectsymoff; /* file offset to the indirect symbol table */
        uint32_t nindirectsyms;  /* number of indirect symbol table entries */
        .....
    }
    
    • 主要字段说明:
      indirectsymoff:动态符号表偏移量
      nindirectsyms:动态符号表中表个数

    ASLR随机地址控件__

    ASLR:Address space layout randomization,将可执行程序随机装载到内存中,这里的随机只是偏移,而不是打乱,具体做法就是通过内核将 Mach-O的段“平移”某个随机系数。slide 正是ASLR引入的偏移

    加载指令相互关系

    作用

    • LC_SEGMENT(LC_LINKEDIT):换算程序基址
    • LC_SYMBOL:符号表(symoff偏移地址,nsyms符号个数),字符串表(stroff偏移地址,strsize大小)
    • LC_DYSYMBOL:动态符号表(indirectsymoff偏移地址,nindirectsyms符号个数)
    • ASLR:加载到进程的内存偏移量

    地址换算

    //链接时程序基址
    uintptr_t linkedit_base = linkedit_segment->vmadd - linkedit_segment->fileoff + (unintptr)slide
    
    //符号表地址 = 基址 + 符号表偏移量
    nlist_t *symbol = (nlist_t *)(linkedit_base + symtab_cmd-> symoff)
    
    //字符串表地址 = 基址 +字符串表偏移量
    char *strtab = (char *)(linkedit_base + symtab_cmd->stroff)
    
    //动态符号表地址  = 基址 + 动态符号表偏移量
    uint32_t *indirect_symtab = (uint32_32 *)(linkedit_base + dysymtab_cmd->indirectsymoff)
    

    补充

    • LC_DYSYMTAB(动态符号表)是LC_SYMTAB(符号表)的子集,LC_DYSYMTAB存储动态符号对应在LC_SYMTAB的序号
    • LC_SEGMENT(_TEXT):存储函数代码,stub_help取得绑定信息(即函数地址与符号的对应关系)
    • LC_SEGMENT(_DATA):函数地址存放在LC_SEGMENT(_DATA)内的la_symbol_ptr,第二次调用,直接通过la_symbol_ptr找到函数地址,不在需要繁琐的获取函数地址过程。
    • la_symbol_ptr对应section中的reserved1字段指明相对应的indirect symbol table起始的index

    程序运行时,动态链接的函数a地址记录在LC_SEGMENT(_DATA )的la_symbol_ptr中。初始化时,程序只知道函数a的符号名而不知道函数的实现地址;首次调用,程序通过LC_SEGMENT(_TEXT)的stub_help获取绑定信息;dyld_stub_binder来更新la_symbol_ptr中的符号实现地址;再次调用,直接通过la_symbol_ptr获取函数实现

    image.png

    补充:

    动态函数调用过程
    程序初始化:
    函数符号名:已存在,并以nlist结构存储,但nlist->n_value=0(函数地址没有值)
    函数实现地址:已存在,存放在mach-o文件cmd加载指令(SegmentName=_DATA,SectionName=__la_symbol_ptr)
    函数符号名与实现地址关联(未关联):即补全nlist信息

    程序运行:
    函数首次调用:
    函数符号名与实现地址进行关联,nlist->n_value赋值函数地址

    函数再次调用:
    通过关联信息,通过函数符号直接获得函数实现地址

    关联过程如下:
    介绍关联过程前,简单介绍几个基础知识

    • MACH-O的加载指令(__DATA,__la_symbol_ptr)
      作用:存储了对应MACH-O文件所有的动态函数实现地址,且以连续内存地址存储
      字段解析:
      Szie:指令大小,可通过换算动态函数个数,如Szie/Szieof(void*)
      Reserved1:相对动态符号表dlsymbol_Tab偏移量,用来换算第一个动态函数对应动符号表的地址

    • Indirect Symbol Table
      作用:连续的存储动态函数对应符号表的索引
      地址寻址:第一个动态符号寻址 = 动态符号基址(vm_add+slide) + Reserved1
      地址值:对应符号Symbol的索引值index

    • Symbol Table
      作用:以nlist结构连续存储函数符号与地址的关联关系,nlist包含函数实现地址,字符串偏移地址(计算函数名)
      地址寻址:符号表基址(vm_add+slide)+ index
      地址值:nlist值

    • String Table
      作用:存储MACH-O文件所有的函数名,char*,每个函数名以\0分隔
      地址寻址:字符串表基址(vm_add+slide)+ 偏移量(nlist-> n_un->n_str)
      地址值:函数名

    关联过程
    1.遍历Mach-O文件下的所有LoadCommand,寻址目标cmd,搜索条件(SegmetName=__DATA,SectionName=__la_symbol_ptr),目标cmd存储了动态函数个数,及第一个动态函数相对动态符号表偏移量
    2.动态函数个数及动态符号表偏移量:动态函数个数=cmd->Szie/Szieof(void*);
    动态符号表偏移量=cmd->reserved1
    3.动态函数符号表寻址:第一个动态符号地址=动态符号表基址_LC_ DYSYMTAB->vm_add+slide+ reserved1;由于动态符号表连续存储动态函数符号,可遍历所有动态函数符号地址;地址值存储对应动态函数的符号表索引
    4.关联建立,补全nlist结构体: 函数地址 + reserved1--->动态符号表寻址--->符号表index--->nlist信息补全

    Data

    section对应SEGMENTD的DATA数据
    Section的数据结构

    struct section { /* for 32-bit architectures */
        char        sectname[16];   /* name of this section */
        char        segname[16];    /* segment this section goes in */
        uint32_t    addr;       /* memory address of this section */
        uint32_t    size;       /* size in bytes of this section */
        uint32_t    offset;     /* file offset of this section */
        uint32_t    align;      /* section alignment (power of 2) */
        uint32_t    reloff;     /* file offset of relocation entries */
        uint32_t    nreloc;     /* number of relocation entries */
        uint32_t    flags;      /* flags (section type and attributes)*/
        uint32_t    reserved1;  /* reserved (for offset or index) */
        uint32_t    reserved2;  /* reserved (for count or sizeof) */
    };
    

    字段解释
    sectname:比如_text、stubs
    segname:该section所属的segment,比如__TEXT
    addr: 该section在内存的起始位置
    size: 该section的大小
    offset: 该section的文件偏移
    align :字节大小对齐
    reloff:重定位入口的文件偏移
    nreloc: 需要重定位的入口数量
    flags:包含section的type和attributes

    附上mach-0简单的逻辑图

    Mach-O.png

    相关文章

      网友评论

        本文标题:iOS堆栈信息解析(Mach-O)

        本文链接:https://www.haomeiwen.com/subject/xjsjdqtx.html