iOS逆向 - fishhook 使用及其 hook 原理首先 fishhook 是 facebook 开源的动态重新绑

fishhook简介

首先 fishhook 是 facebook 开源的动态重新绑定iOS上运行的Mach-O二进制文件符号表工具，它的强大之处在于它可以 HOOK 系统静态 C 函数（非用户自定义C函数）。

官方英文介绍：

A library that enables dynamically rebinding symbols in Mach-O binaries running on iOS.

fishhook官方github：fishhook

本文Demo：FishhookTest

fishhook的工作原理

在讲解fishhook的原理之前先了解以下知识点：

Mach-O结构
懒加载符号表
符号绑定
共享缓冲区
App在编译阶段、链接阶段都做了什么？阅读过Mach-O文件结构的读者应该了解，在编译阶段，在工程中使用到的系统库是不会编译进Mach-O中的（这会增大Mach-O的体积），仅仅将依赖的系统库记录在Load Commands段中的LC_LOAD_DYLIB，如图：

工程中使用到的系统库函数（如NSLog函数）记录在该_DATA段的懒加载符号表 Lazy Symbol Pointers 中，如图：

所谓符号绑定，以 Foundation 库中的NSLog为例：

启动APP，dyld 读取Mach-O文件，将 Load Commands 中列出的系统库 Foundation 等加载进共享缓冲区中，dyld 会去找到 Foundation 中 NSLog 的真实地址写到 _DATA 段的符号表中 NSLog 的符号上面，此为符号绑定；

详细流程如下 :

在工程编译时,所产生的 Mach-O 可执行文件中会预留出一段空间 , 这个空间其实就是符号表,存放在 _DATA 数据段中(因为 _DATA 段在运行时是可读可写的)
编译时: 工程中所有引用了共享缓存区中的系统库方法,其指向的地址设置成符号地址,(例如工程中有一个 NSLog,那么编译时就会在 Mach-O 中创建一个 NSLog 的符号,工程中的 NSLog 就指向这个符号)
运行时: 当 dyld将应用加载到内存中时 , 根据 load commands 中列出的需要加载哪些库文件 , 去做绑定的操作(以 NSLog 为例 , dyld 就会去找到 Foundation 中 NSLog 的真实地址写到 _DATA 段的符号表中 NSLog 的符号上面)

这个过程被称为 PIC 技术(Position Independent Code : 位置代码独立)

而 fishhook 的原理，就是通过更新 Mach-O 二进制文件中的_DATA段符号表，目的是将符号上的地址重新写为用户自己的函数地址，这样在调用系统函数时就会调用户自己的函数了；

重绑定符号地址用的就是fishhook中的 rebind_symbols函数；

讲完了fishhook的工作原理，下面来实际写个demo；

fishhook的基本使用

- (void)viewDidLoad {
    [super viewDidLoad];
    // Do any additional setup after loading the view.
    
    //rebinding结构体
    struct rebinding nslog;
    
    //需要HOOK的函数名称，C字符串
    nslog.name = "NSLog";
    
    //将系统库函数所指向的符号，在运行时重新绑定到用户指定的函数地址
    nslog.replacement = myNslog;
    
    //将原系统库函数的真实地址赋值到用户指定的函数指针上
    nslog.replaced = (void*)&sys_nslog;
    
    //rebinding结构体数组
    struct rebinding rebs[1] = {nslog};
    /**
     * 参数1 : 存放rebinding结构体的数组
     * 参数2 : 数组的长度
     */
    rebind_symbols(rebs,1);
}

- (void)touchesEnded:(NSSet<UITouch *> *)touches withEvent:(UIEvent *)event {
    NSLog(@"点击了屏幕");
}
//用户指定的函数指针
void(*sys_nslog)(NSString *format,...);
//新的nslog函数
void myNslog(NSString *format,...) {
    format = [format stringByAppendingString:@"勾上了"];
    //调用一下原系统函数，不然不会打印
    sys_nslog(format);
}

输出：点击了屏幕...勾上了

重绑定的流程如下：

1.声明rebinding结构体；
2.需要HOOK的函数名称；
3.将系统库函数所指向的符号，在运行时重新绑定到用户指定的函数地址；
4.将原系统函数的真实地址赋值到用户指定的指针上；
5.声明rebinding结构体数组，其中的数组元素就是上述声明的rebinding结构体；
6.调用重绑定函数 rebind_symbols；

实操验证

在上述原理中讲到fishhook是通过重绑定懒加载符号表的符号地址的方式来实现hook系统库函数的，下面来验证一下：

首先为什么称之为“懒加载”？

注：
1.对于非懒加载符号表，dyld 会在动态链接时就链接动态库
2.对于懒加载符号表，dyld 会在运行时函数第一次被调用时动态绑定一次

NSLog 在懒加载表中可以理解为在第一次调用库函数时才会去将真实的函数地址绑定到具体符号上，这里还是以NSLog函数为例，在上述代码中新增NSLog方法调用，也就是去执行一次符号绑定操作；

代码准备

- (void)viewDidLoad {
    [super viewDidLoad];
    // Do any additional setup after loading the view.
    
    NSLog(@"hello");
    
    //rebinding结构体
    struct rebinding nslog;
    ...
}