详解 Mach-O 文件结构

前言

在学习iOS逆向的过程中，发现在解密可执行文件 dumpdecrypted 砸壳原理时需要用到 Mach-O 相关知识，在动态库注入过程中也需要理解 Mach-O 可执行文件的文件结构，那么有必要系统学习记录 Mach-O 文件的组成结构。

什么是 Mach-O

Mach-O，是 Mach object 文件格式的缩写，是一种可执行文件、目标代码、共享程序库、动态加载代码和核心 dump 。是 a.out 格式的一种替代。 Mach-O 提供更多的可扩展性和更快的符号表信息存取。Mach-O 应用在基于 Mach 核心的系统上，目前 NeXTSTEP、Darwin、Mac OS X（iPhone）都是使用这种可执行文件格式。熟悉 Mach-O 文件格式，有助于了解苹果底层软件运行机制，更好的掌握 dyld 加载 Mach-O 的步骤，为自己动手开发 Mach-O 相关的加解密工具注入工具打下基础。

属于 MachO 格式的常见文件

目标文件.o
库文件
- .a
- .dylib
- Framework
可执行文件
dyld
.dsym

通用二进制文件（Universal binary）

苹果公司提出的一种程序代码。能同时适用多种架构的二进制文件
同一个程序包中同时为多种架构提供最理想的性能
因为需要储存多种代码，通用二进制应用程序通常比单一平台二进制的程序要大，但是由于两种架构有共同的非执行资源(代码以外的)，所以并不会达到单一版本的两倍之多
而且由于执行中只调用一部分代码，运行起来也不需要额外的内存

lipo 命令的使用

使用lifo -info 可以查看MachO文件包含的架构（$lipo -info MachO文件）
使用lifo –thin 拆分某种架构（$lipo MachO文件 –thin 架构 –output 输出文件路径）
使用lipo -create 合并多种架构（$lipo -create MachO1 MachO2 -output 输出文件路径）

Mach-O 文件结构

image.png

Mach-O 的组成结构如图所示

Mach-O 头部（Mach Header），包含该二进制文件的一般信息
- 字节顺序、架构类型、加载指令的数量等
- 使得可以快速确认一些信息，比如当前文件用于32位还是64位，对应的处理器是什么、文件类型是什么
加载命令（Load commands)，一张包含很多内容的表，内容包括区域的位置、符号表、动态符号表等
Data 通常是对象文件中最大的部分，包含Segement的具体数据

1、Header 的数据结构

header.png

header_info.png

2、Load Commands 的部分信息

Load Commands.png

LoadCommands2.png

3、Data 数据区

数据段 segment

存放数据：代码、字符常量、类、方法等, 可以拥有多个 segment ，每个 segment 可以有零到多个 section 。每个段都有一段虚拟地址映射到进程的地址空间，先来看下数据结构， LC_SEGMENT_64 定义了一个 64 位的 segment，其定义如下:

Data.png

dyld 将 fileoff (基于当前架构的文件偏移量)处 fileSize 大小的内容加载到虚拟内存的 vmaddr 处,其大小为 vmsize ， segment 的权限由 initprot 进行初始化。
LC_SEGMENT_64 包括了一下 4 种:

_PAGEZERO : 空指针陷阱段，用与捕捉对 iNULL 指针的引用;
_TEXT : 代码段/只读数据段;
_DATA : 读取/写入数据的段;
_LINKEDIT : dyld 需要的信息;

Section 段

在 Segment 里面会包含不同的 section ，其结构如下图:

Section.png

sectname: section 的名字
segname: segment 的名字
addr: 映射到虚拟地址的偏移
size: section 的大小
offset: section 在当前架构中的偏移
align: section的字节对齐大小 n
reloff: 重定位入口的文件偏移
nreloc: 重定位入口的个数
flags: section的类型与属性:
reserved: 保留位

`__TEXT` `Segment` 的 `Section`:

__TEXT.png

__text: 可执行文件的代码区域
__objc_methname: 方法名
__objc_classname: 类名
__objc_methtype: 方法签名
__cstring: 类 C 风格的字符串

`__DATA` `Segment` 的 `Section`:

__DATA.png

__nl_symbol_ptr: 非懒加载指针表,dyld 加载会立即绑定
__ls_symbol_ptr: 懒加载指针表
__mod_init_func: constructor 函数
__mod_term_func: destructor 函数
__objc_classlist: 类列表
__objc_nlclslist: 实现了 load 方法的类
__objc_protolist: protocol的列表
__objc_classrefs: 被引用的类列表
__objc _catlist: Category列表

`Symbol Table` 符号表，这个是重点中的重点，符号表是将地址和符号联系起来的桥梁。符号表并不能直接存储符号，而是存储符号位于字符串表的位置。

String Table.png

`String Table` 字符串表所有的变量名、函数名等，都以字符串的形式存储在字符串表中。