一 HOOK之Method Swizzle
利用OC的Runtime特性，动态改变SEL（方法编号）和IMP（方法实现）的对应关系，达到OC方法调用流程改变的目的。主要用于OC方法。
#import <objc/message.h>
+(void)hookClass:(Class )class Withmethod:(SEL)oldMethod newMethod:(SEL)newMethod
{
Method old = class_getInstanceMethod(class, oldMethod);
Method news = class_getInstanceMethod(class, newMethod);
method_exchangeImplementations(old, news);
}
//交换方法
[hookManager hookClass:self.class Withmethod:@selector(old) newMethod:@selector(news)];
//类方法
[hookManager hookClass:object_getClass(self.class) Withmethod:@selector(classOld) newMethod:@selector(classNew)];
二 HOOK之 fishhook
Facebook提供的一个动态修改链接mach-O文件的工具。利用MachO文件加载原理，原理是通过修改懒加载和非懒加载两个表的指针达到C函数HOOK的目的,所以不能修改自己定义的函数，只能修改系统库函数。
- 简单使用
#import "fishhook.h"
- (void)viewDidLoad {
[super viewDidLoad];
NSLog(@"123");
//定义rebinding结构体
/*
struct rebinding {
const char *name;//需要HOOK的函数名称,字符串
void *replacement;//替换到那个新的函数上(函数指针,也就是函数的名称)
void **replaced;//保存原始函数指针变量的指针(它是一个二级指针!)
};
*/
struct rebinding nslogBind;
//函数的名称
nslogBind.name = "NSLog";
//新的函数地址
nslogBind.replacement = myNSLog;
//保存原始函数地址的变量的指针
nslogBind.replaced = (void *)&old_nslog;
//定义数组
struct rebinding rebs[] = {nslogBind};
/*
arg1 : 存放rebinding结构体的数组
arg2 : 数组的长度
*/
rebind_symbols(rebs, 1);
}
//函数指针,用保存原始的函数的地址
static void (*old_nslog)(NSString *format, ...);
//新的NSLog
void myNSLog(NSString *format, ...){
format = [format stringByAppendingString:@"\n勾上了!"];
//再调用原来的
old_nslog(format);
}
- (void)touchesBegan:(NSSet<UITouch *> *)touches withEvent:(UIEvent *)event {
NSLog(@"点击了屏幕!!");
}
- 原理
- APP运行时，MachO被dyld加载进内存
- ASLR让MachO被加载时内存地址随机分配
- 苹果的PIC位置与代码独立技术，让MachO调用系统库函数时，先在MachO表中的_DATA段建立一个指针指向外部库函数，dyld加载MachO时知道外部库函数的调用地址，会动态的把_DATA段的指针指向外部库函数
- fishhook通过nslogBind.name = "NSLog" 就能替换库函数，是因为MachO的符号表里有NSLog等，可以通过符号表找到NSLog字符串
- 原理求证
-
在 rebind_symbols(rebs, 1);处打个断点，进入包内容，找到MachO可执行文件，用MachOView打开找到懒加载和非懒加载两个表，如下：
1.png
得到NSLog的偏移量为0x8018
- 断点断住后，用lldb输入image list得到如下：
(lldb) image list
[ 0] 48743862-C387-35A9-AC9E-973B65CCE0F4 0x0000000100688000 /Users/mac/Library/Developer/Xcode/DerivedData/001--fishHookDemo-gwgiujnhvjhvlsfgctoolqctiwnc/Build/Products/Debug-iphoneos/001--fishHookDemo.app/001--fishHookDemo
即MachO文件的起始地址是0x0000000100688000，那么NSLog的地址是0x8018+0x0000000100688000
- lldb调试读取NSLog地址的内存
(lldb) x 0x0000000100688000+0x8018 //memory read 0x0000000100688000+0x8018
0x100690018: 80 a6 4d 85 01 00 00 00 a8 61 4d 85 01 00 00 00 ..M......aM.....
0x100690028: a0 56 9f 8e 01 00 00 00 64 eb 68 00 01 00 00 00 .V......d.h.....
- 得到内容为0x01854da680,然后再dis -s 0x01854da680 输出如下：
Foundation`NSLog:
0x1854da680 <+0>: sub sp, sp, #0x20 ; =0x20
0x1854da684 <+4>: stp x29, x30, [sp, #0x10]
0x1854da688 <+8>: add x29, sp, #0x10 ; =0x10
0x1854da68c <+12>: add x8, x29, #0x10 ; =0x10
0x1854da690 <+16>: str x8, [sp, #0x8]
0x1854da694 <+20>: add x1, x29, #0x10 ; =0x10
0x1854da698 <+24>: mov x2, x30
0x1854da69c <+28>: bl 0x18557bc68 ; _NSLogv
- 过了断点后再x 0x0000000100688000+0x8018 得到如下：
0x100690018: c8 dd 68 00 01 00 00 00 a8 61 4d 85 01 00 00 00 ..h......aM.....
0x100690028: a0 56 9f 8e 01 00 00 00 d8 7d 55 84 01 00 00 00 .V.......}U.....
得到地址0x010068ddc8,然后dis -s 0x010068ddc8 得到：
001--fishHookDemo`myNSLog:
0x10068ddc8 <+0>: sub sp, sp, #0x30 ; =0x30
0x10068ddcc <+4>: stp x29, x30, [sp, #0x20]
0x10068ddd0 <+8>: add x29, sp, #0x20 ; =0x20
0x10068ddd4 <+12>: mov x8, #0x0
0x10068ddd8 <+16>: stur x8, [x29, #-0x8]
0x10068dddc <+20>: sub x9, x29, #0x8 ; =0x8
0x10068dde0 <+24>: str x0, [sp, #0x10]
0x10068dde4 <+28>: mov x0, x9
即NSLog被myNSLog替换了
- 通过符号表，查找字符串
-
MachO的Dynamic Symbol Table下的Indirect Symbols表和 Lazy Symbol Pointers表一一对应
2.png -
_NSLog的Data 0x7A 是Symbols表的下标，0x7A的十进制是122，那么找到Symbols表的#122位置处：
3.png -
得到_NSLog在字符串表的偏移量是0x9B，然后字符串表,表的起始地址是0xCEFC,加上偏移量0x9B得到0xcf97,在表中找到0xcf97果然找到NSLlog
4.png
总过程如图
image
三 基本防护
因为文件加载的顺序，防护代码写在framework中的load函数中，因为framework中的load函数会被先调用，从而起到防护作用
文件加载顺序：framework中的load -> ViewController的load ->AppDelegate的load
1.png
基本防护代码：
#import "fishhook.h"
#import <objc/message.h>
@implementation hookMgr
//专门HOOK
+(void)load
{
//内部用到的交换代码 写在这里
Method old = class_getInstanceMethod(objc_getClass("ViewController"), @selector(btnClick1:));
Method new = class_getInstanceMethod(self, @selector(click1Hook:));
method_exchangeImplementations(old, new);
//基本防护 会检测到外部的hook
struct rebinding bd;
bd.name = "method_exchangeImplementations";
bd.replacement = myExchang;
bd.replaced = (void *)&exchangeP;
struct rebinding bd2;
bd2.name = "method_setImplementation";
bd2.replacement = myExchang;
bd2.replaced = (void *)&setIMP;
// method_setImplementation
struct rebinding rebindings[] = {bd,bd2};
rebind_symbols(rebindings, 2);
}
//保留原来的交换函数
IMP _Nonnull (*setIMP)(Method _Nonnull m, IMP _Nonnull imp);
void (*exchangeP)(Method _Nonnull m1, Method _Nonnull m2);
//新的函数
void myExchang(Method _Nonnull m1, Method _Nonnull m2){
NSLog(@"检测到了HOOK!!!");
//强制退出!
exit(1);
}
-(void)click1Hook:(id)sendr{
NSLog(@"原来APP的HOOK保留!!");
}
