iOS逆向开发(二)----Cycript,class-dump,Mach-O
Cycript
在逆向开发中经常要调试运行中的app,此时我们要借助Cycript. Cycript是Objective-C++、ES6（JavaScript）、Java等语法的混合物.
开启:cycript -p 进程ID或者cycript -p 进程名称
取消输入：Ctrl + C
退出：Ctrl + D
清屏：Command + R
列出所有的进程: ps –A 或者 ps aux
UIApp: [UIApplication sharedApplication]
变量: var 变量名 = 变量值
内存获取对象: #内存地址
ObjectiveC.classes:已加载的所有OC类
查看对象的所有成员变量:*对象
递归打印view的所有子控件（跟LLDB一样的函数）: view.recursiveDescription().toString()
筛选出某种类型的对象: choose(UIViewController)
class-dump
除了对app进行界面分析,还要进行代码分析,这里要用到class-dump.
class-dump -H Mach-O文件路径 -o 头文件存放目录
-H表示要生成头文件
-o用于制定头文件的存放目录
生成的微博头文件如下:
Hopper Disassmbler
Hopper Disassmbler能够将Mach-O文件的机器语言代码反编译成汇编代码、OC伪代码或者Swift伪代码
下图为微博程序启动加载伪代码:
动态库共享缓存（dyld shared cache）
为了提高性能，绝大部分的系统动态库文件都打包存放到了一个缓存文件中（dyld shared cache）,缓存文件路径：/System/Library/Caches/com.apple.dyld/dyld_shared_cache_armX
Mach-O
Mach-O是Mach object的缩写，是Mac\iOS上用于存储程序、库的标准格式,可以在xnu源码中，查看到Mach-O格式的详细定义:
常见的Mach-O文件类型:
MH_OBJECT:目标文件（.o）,静态库文件(.a），静态库其实就是N个.o合并在一起.
MH_EXECUTE：可执行文件, .app/xx
MH_DYLIB:动态库文件, .dylib, .framework/xx
MH_DYLINKER：动态链接编辑器,usr/lib/dyld
MH_DSYM：存储着二进制文件符号信息的文件, .dSYM/Contents/Resources/DWARF/xx（常用于分析APP的崩溃信息）
在Xcode中查看target的Mach-O类型
一个Mach-O文件包含3个主要区域:
- Header,文件类型、目标架构类型等.
- Load commands,描述文件在虚拟内存中的逻辑结构、布局
- Raw segment data,在Load commands中定义的Segment的原始数据
查看Mach-O的文件类型: file 文件路径
查看Mach-O特定部分和段的内容: otool 文件路径 参数
多架构Mach-O文件的处理:lipo
1.查看架构信息：lipo -info 文件路径
2.导出某种特定架构：lipo 文件路径 -thin 架构类型 -output 输出文件路径
3.合并多种架构：lipo 文件路径1 文件路径2 -output 输出文件路径
或者通过GUI MachOView查看:
dyld用于加载以下类型的Mach-O文件: MH_EXECUTE, MH_DYLIB, MH_BUNDLE. APP的可执行文件、动态库都是由dyld负责加载的
