MachO文件分析2

zhulijun
331 阅读4分钟

「这是我参与2022首次更文挑战的第9天，活动详情查看：2022首次更文挑战」。

Load Commands

包含区域的位置、符号表、动态符号表等。描述了文件中数据的具体组织结构，不同的数据类型使用不同的加载命令表示。

image.png

  • LC_SEGMENT_64(__PAGEZERO)

    • VM Size：虚拟内存，大小4G(32位是16M)。用于区分32位及存储位置

  • LC_SEGMENT_64(__TEXT)

  • LC_SEGMENT_64(__DATA)

  • LC_SEGMENT_64(__LINKEDIT)

    • VM Address：虚拟内存地址
    • VM Size：虚拟内存大小
    • File Offset：数据在文件中的起始位置
    • File Size：数据在文件中的大小

  • LC_DYLD_INFO_ONLY（动态链接相关信息）

    • Rebase：进行重定向的位置信息。当MachO加载到内存里，系统会随机分配一个内存偏移大小aslr，和rebase里面的offset，对接(位置相加)获取代码在内存中的实际位置。再根据size开辟实际内存
    • Binding：绑定的位置信息
    • Weak Binding：弱绑定的位置信息
    • Lazy Binding：懒加载绑定的位置信息
    • Export：对外的位置信息

  • LC_SYMTAB（符号表地址）

    • Symbol Table Offset：符号表的位置。函数名称、函数地址关联的信息
    • Number of Symbol：符号数
    • String Table Offset：符号名称位置
    • String Table Size：符号名称大小

  • LC_DYSYMTAB（动态符号表地址）

  • LC_LOAD_DYLINKER（动态库连接器：dyld）

    • Str Offset：动态库连接器位置
    • Name：动态库连接器路径（dyld）

  • LC_UUID（MachO文件唯一标识）

  • LC_VERSION_MIN_IPHONESOS（MachO文件支持最低的操作系统版本）

  • LC_SOURCE_VERSION（源代码版本）

  • LC_MAIN（MachO程序入口：设置程序主线程的入口地址和栈大小）

    • Entry Offset：入口位置
    • Stacksize：堆栈大小
    • Entry Point：入口点（内存地址）

  • LC_ENCRYPTION_INFO_64（加密信息）

    • Crypt Offset：加密信息位置
    • Crypt Size：加密信息大小
    • Crypt ID：加密信息ID。非加密是0，加密是1

  • LC_LOAD_DYLIB（依赖库的路径，包含三方库）

    • Str Offset：动态库位置
    • Time Stamp：动态库时间
    • Current Version：动态库版本

  • LC_RPATH（frameworks信息）

  • LC_FUNCTION_STARTS（函数的起始位置表）

  • LC_DATA_IN_CODE（代码数据信息）

  • LC_CODE_SIGNATURE（代码签名信息）

Data

由 Segment 段和 Section 节组成。存放具体数据：代码、数据、字符串常量、类、方法等。

image.png

  1. Segment 组成
#define SEG_PAGEZERO    "__PAGEZERO" /* 当时 MH_EXECUTE 文件时，捕获到空指针 */
#define SEG_TEXT    "__TEXT" /* 代码/只读数据段 */
#define SEG_DATA    "__DATA" /* 数据段 */
#define SEG_OBJC    "__OBJC" /* Objective-C runtime 段 */
#define SEG_LINKEDIT    "__LINKEDIT" /* 包含需要被动态链接器使用的符号和其他表，包括符号表、字符串表等 */
  1. Segment 的数据结构
struct segment_command_64 { 
    uint32_t    cmd;        /* LC_SEGMENT_64 */
    uint32_t    cmdsize;    /* section_64 结构体所需要的空间 */
    char        segname[16];    /* segment 名字，上述宏中的定义 */
    uint64_t    vmaddr;     /* 所描述段的虚拟内存地址 */
    uint64_t    vmsize;     /* 为当前段分配的虚拟内存大小 */
    uint64_t    fileoff;    /* 当前段在文件中的偏移量 */
    uint64_t    filesize;   /* 当前段在文件中占用的字节 */
    vm_prot_t   maxprot;    /* 段所在页所需要的最高内存保护，用八进制表示 */
    vm_prot_t   initprot;   /* 段所在页原始内存保护 */
    uint32_t    nsects;     /* 段中 Section 数量 */
    uint32_t    flags;      /* 标识符 */
};
  1. Section 数据结构
    部分的 Segment （主要指的 __TEXT 和 __DATA）进一步分解为 Section。
struct section_64 { 
    char        sectname[16];   /* Section 名字 */
    char        segname[16];    /* Section 所在的 Segment 名称 */
    uint64_t    addr;       /* Section 所在的内存地址 */
    uint64_t    size;       /* Section 的大小 */
    uint32_t    offset;     /* Section 所在的文件偏移 */
    uint32_t    align;      /* Section 的内存对齐边界 (2 的次幂) */
    uint32_t    reloff;     /* 重定位信息的文件偏移 */
    uint32_t    nreloc;     /* 重定位条目的数目 */
    uint32_t    flags;      /* 标志属性 */
    uint32_t    reserved1;  /* 保留字段1 (for offset or index) */
    uint32_t    reserved2;  /* 保留字段2 (for count or sizeof) */
    uint32_t    reserved3;  /* 保留字段3 */
};

以下列举一些常见的 Section:

__TEXT,__text: 主程序代码
__TEXT,__stubs / __stub_helper: 用于动态链接的桩
__TEXT,__objc_methname: OC方法名称
__TEXT,__objc_classname: OC类名
__TEXT,__objc_methtype: OC方法类型
__TEXT,__cstring: 程序中c语言字符串
__DATA,__got: 非懒加载符号表
__DATA,__la_symbol_ptr: 懒加载符号表
__DATA,__objc_classlist: OC类列表
__DATA,__objc_protollist: OC原型列表
__DATA,__objc_imageinfo: OC镜像信息
__DATA,__objc_const: OC常量
__DATA,__objc_selfrefs: OC类自引用(self)
__DATA,__objc_superrefs: OC类超类引用(super)
__DATA,__objc_protolrefs: OC原型引用
__DATA,__objc_data / __data: OC代码数据
Dynamic Loader Info: 动态链接器所需要使用的信息 (重定向,符号绑定,懒加载绑定等..)
Function Starts: 方法的起始位置
Symbol Table: 符号表
Dynamic Symbol Table: 动态符号表
String Table: 字符串表
Code Signature: 代码签名信息

avatar
文章
阅读
粉丝