dyld 源码学习众所周知一个 iOS App 的程序入口是main.m, 但系统是怎么找到main.m的估计很多人就有

背景

众所周知一个 iOS App 的程序入口是main.m, 但系统是怎么找到main.m的估计很多人就有疑问了,本文将详细解释这个问题.

dyld

dyld(the dynamic link editor), 动态链接器,是专门用来加载动态库以及主程序的库. 当kernel做好程序的启动准备工作之后,系统的执行由内核态转换为用户态,由 dyld 首先开始工作,iOS 中用到的所有系统framework都是动态库,比如最常用的UIKit.framework,Foundation.framework, 而这些动态库是手机内所有App共享的,所以需要在我们 App运行前加载进来. dyld 主要的工作有:

初始化 App 运行环境
链接依赖的动态库以及主程序
rebase / binding
返回 main.m 的函数地址接下来分析下dyld 的源码.

源码分析

在 demo 里加[NSObject init]的符号断点来看下:

可以看到入口函数事在 dyid_start方法里的dyldbootstrap::start方法,接下来去源码里看看. 在 dyld 源码里找到dyldStartup.s找到了__dyld_start,这里只截取了arm架构的部分.

通过注释可以看到有调用dyldbootstrap::start,那顺着调用再往下看. 在dyldInitialization.cpp中找到了start

首先通过slideOfMainExecutable拿到随机地址的偏移量
调用rebaseDyld重定位
mach_init() mach消息初始化
__guard_setup() 栈溢出保护接下来调用了dyld::_main,将返回值传递给__dyld_start的调用main.m函数.

`dyld::_main`是dyld中的关键方法,代码也非常多,它的实现可以分为以下几步: (关键部分有注释)

设置运行环境
加载共享缓存
加载主程序
加载动态库
链接主程序
链接动态库
初始化主程序
返回入口地址

0x01 设置运行环境

0x02 加载共享缓存

checkSharedRegionDisable是检查共享缓存是否禁用,里面可以看到一行注释,iOS 必须开启共享缓存才能运行.

static void checkSharedRegionDisable(const dyld3::MachOLoaded* mainExecutableMH, uintptr_t mainExecutableSlide) {
	// iOS cannot run without shared region
}

接下来调的mapSharedCache()就是加载共享缓存的逻辑,就不深入了.

0x03 加载主程序

这一步将主程序 Mach-O 加载进内存,并实例化了一个ImageLoader.先看下instantiateFromLoadedImage的调用栈:

其中ImageLoader是一个抽象类,它的两个子类ImageLoaderMachOCompressed、ImageLoaderMachOClassic负责把 Mach-O 实例化为 Image.但要用哪个子类来进行实例化是通过sniffLoadCommands来判断Mach-O 文件的 LINKEDIT 是classic或者compressed.

0x04 加载动态库

遍历DYLD_INSERT_LIBRARIES环境变量,然后调用loadInsertedDylib加载.

0x05 链接主程序

调用 link链接主程序,内核调用的是ImageLoader::link 函数,主要是做了加载动态库、rebase、binding 等操作,代码比较多,我就不贴了,在附件的源码上有我写的详细注释.

0x06 链接动态库

这一步将前面调用 addImage()函数保存在sAllImages 中的动态库列表循环调用 link进行链接,然后调registerInterposing注册符号替换. 注意这里的 i+1, 因为sAllImages中第一项是主程序,所以取 i+1项.

0x07 初始化主程序

这一步由initializeMainExecutable()完成。dyld会优先初始化动态库，然后初始化主程序。该函数首先执行runInitializers()，内部再依次调用processInitializers()、recursiveInitialization(),在recursiveInitialization()函数里找到了 notifySingle();

context.notifySingle(dyld_image_state_dependents_initialized, this, &timingInfo);

再往下找到sNotifyObjCInit,再去找它的赋值找到registerObjCNotifiers,从函数注释来看是用objc runtime来调的,这块之后再看.在查阅一些资料之后得知,这里的sNotifyObjCInit就是调用 objc 中的 load_images,它调用所有的 load 方法,在调用完 load 方法以后调用了

bool hasInitializers = this->doInitialization(context);

doInitialization又调用了doModInitFunctions, 也就是constuctor方法,关于这个方法可以参看链接.

0x08 返回入口地址

这里调用主程序的getEntryFromLC_MAIN,就是从``Load Command中读取LC_MAIN入口,如果没有,就读取LC_UNIXTHREAD,然后跳到入口处执行,就回到了我们熟悉的main.m`.

说明

1.dyld 源码: opensource.apple.com/tarballs/dy…
2.本文分析所用版本: dyld-635.2
3.带注释 dyld源码地址: Github

参考

1.iOS 应用逆向与安全
2.www.dllhook.com/post/238.ht…
3.blog.sunnyxx.com/2014/08/30/…

dyld 源码学习

背景