博客> iOS开发 HOOK 上篇之 fishhook
iOS开发 HOOK 上篇之 fishhook
2020-02-20 18:43 评论:0 阅读:815 meryin
ios hook iOS逆向

一 HOOK之Method Swizzle

利用OC的Runtime特性,动态改变SEL(方法编号)和IMP(方法实现)的对应关系,达到OC方法调用流程改变的目的。主要用于OC方法。

#import <objc>
+(void)hookClass:(Class )class Withmethod:(SEL)oldMethod newMethod:(SEL)newMethod
{
    Method old = class_getInstanceMethod(class, oldMethod);
    Method news = class_getInstanceMethod(class, newMethod);
    method_exchangeImplementations(old, news);
}
 //交换方法
    [hookManager hookClass:self.class Withmethod:@selector(old) newMethod:@selector(news)];
    //类方法
[hookManager hookClass:object_getClass(self.class) Withmethod:@selector(classOld) newMethod:@selector(classNew)];

二 HOOK之 fishhook

Facebook提供的一个动态修改链接mach-O文件的工具。利用MachO文件加载原理,原理是通过修改懒加载和非懒加载两个表的指针达到C函数HOOK的目的,所以不能修改自己定义的函数,只能修改系统库函数。

简单使用
#import "fishhook.h"
- (void)viewDidLoad {
    [super viewDidLoad];
    NSLog(@"123");
    //定义rebinding结构体
/*
struct rebinding {
  const char *name;//需要HOOK的函数名称,字符串
  void *replacement;//替换到那个新的函数上(函数指针,也就是函数的名称)
  void **replaced;//保存原始函数指针变量的指针(它是一个二级指针!)
};
*/
    struct rebinding nslogBind;
    //函数的名称
    nslogBind.name = "NSLog";
    //新的函数地址
    nslogBind.replacement = myNSLog;
    //保存原始函数地址的变量的指针
    nslogBind.replaced = (void *)&old_nslog;
    //定义数组
    struct rebinding rebs[] = {nslogBind};
    /*
     arg1 : 存放rebinding结构体的数组
     arg2 : 数组的长度
     */
    rebind_symbols(rebs, 1);
}
//函数指针,用保存原始的函数的地址
static void (*old_nslog)(NSString *format, ...);
//新的NSLog
void myNSLog(NSString *format, ...){
    format = [format stringByAppendingString:@"\n勾上了!"];
    //再调用原来的
    old_nslog(format); 
}
- (void)touchesBegan:(NSSet<UITouch> *)touches withEvent:(UIEvent *)event {
    NSLog(@"点击了屏幕!!");   
}
原理
  • APP运行时,MachO被dyld加载进内存
  • ASLR让MachO被加载时内存地址随机分配
  • 苹果的PIC位置与代码独立技术,让MachO调用系统库函数时,先在MachO表中的_DATA段建立一个指针指向外部库函数,dyld加载MachO时知道外部库函数的调用地址,会动态的把_DATA段的指针指向外部库函数
  • fishhook通过nslogBind.name = "NSLog" 就能替换库函数,是因为MachO的符号表里有NSLog等,可以通过符号表找到NSLog字符串
    原理求证
  • 在 rebind_symbols(rebs, 1);处打个断点,进入包内容,找到MachO可执行文件,用MachOView打开找到懒加载和非懒加载两个表,如下: 1.png 得到NSLog的偏移量为0x8018
  • 断点断住后,用lldb输入image list得到如下:
    (lldb) image list
    [  0] 48743862-C387-35A9-AC9E-973B65CCE0F4 0x0000000100688000 /Users/mac/Library/Developer/Xcode/DerivedData/001--fishHookDemo-gwgiujnhvjhvlsfgctoolqctiwnc/Build/Products/Debug-iphoneos/001--fishHookDemo.app/001--fishHookDemo

    即MachO文件的起始地址是0x0000000100688000,那么NSLog的地址是0x8018+0x0000000100688000

  • lldb调试读取NSLog地址的内存
    (lldb) x 0x0000000100688000+0x8018  //memory read 0x0000000100688000+0x8018
    0x100690018: 80 a6 4d 85 01 00 00 00 a8 61 4d 85 01 00 00 00  ..M......aM.....
    0x100690028: a0 56 9f 8e 01 00 00 00 64 eb 68 00 01 00 00 00  .V......d.h.....
  • 得到内容为0x01854da680,然后再dis -s 0x01854da680 输出如下:
    Foundation`NSLog:
    0x1854da680 <+0>:  sub    sp, sp, #0x20             ; =0x20 
    0x1854da684 <+4>:  stp    x29, x30, [sp, #0x10]
    0x1854da688 <+8>:  add    x29, sp, #0x10            ; =0x10 
    0x1854da68c <+12>: add    x8, x29, #0x10            ; =0x10 
    0x1854da690 <+16>: str    x8, [sp, #0x8]
    0x1854da694 <+20>: add    x1, x29, #0x10            ; =0x10 
    0x1854da698 <+24>: mov    x2, x30
    0x1854da69c <+28>: bl     0x18557bc68               ; _NSLogv
  • 过了断点后再x 0x0000000100688000+0x8018 得到如下:
    0x100690018: c8 dd 68 00 01 00 00 00 a8 61 4d 85 01 00 00 00  ..h......aM.....
    0x100690028: a0 56 9f 8e 01 00 00 00 d8 7d 55 84 01 00 00 00  .V.......}U.....

    得到地址0x010068ddc8,然后dis -s 0x010068ddc8 得到:

    001--fishHookDemo`myNSLog:
    0x10068ddc8 <+0>:  sub    sp, sp, #0x30             ; =0x30 
    0x10068ddcc <+4>:  stp    x29, x30, [sp, #0x20]
    0x10068ddd0 <+8>:  add    x29, sp, #0x20            ; =0x20 
    0x10068ddd4 <+12>: mov    x8, #0x0
    0x10068ddd8 <+16>: stur   x8, [x29, #-0x8]
    0x10068dddc <+20>: sub    x9, x29, #0x8             ; =0x8 
    0x10068dde0 <+24>: str    x0, [sp, #0x10]
    0x10068dde4 <+28>: mov    x0, x9

    即NSLog被myNSLog替换了

    通过符号表,查找字符串
  • MachO的Dynamic Symbol Table下的Indirect Symbols表和 Lazy Symbol Pointers表一一对应 2.png
  • _NSLog的Data 0x7A 是Symbols表的下标,0x7A的十进制是122,那么找到Symbols表的#122位置处: 3.png
  • 得到_NSLog在字符串表的偏移量是0x9B,然后字符串表,表的起始地址是0xCEFC,加上偏移量0x9B得到0xcf97,在表中找到0xcf97果然找到NSLlog 4.png

总过程如图image

三 基本防护

因为文件加载的顺序,防护代码写在framework中的load函数中,因为framework中的load函数会被先调用,从而起到防护作用 文件加载顺序:framework中的load -> ViewController的load ->AppDelegate的load 1.png 基本防护代码:

#import "fishhook.h"
#import <objc>

@implementation hookMgr
//专门HOOK
+(void)load
{
    //内部用到的交换代码 写在这里
    Method old = class_getInstanceMethod(objc_getClass("ViewController"), @selector(btnClick1:));
    Method new = class_getInstanceMethod(self, @selector(click1Hook:));
    method_exchangeImplementations(old, new);
    //基本防护 会检测到外部的hook
    struct rebinding bd;
    bd.name = "method_exchangeImplementations";
    bd.replacement = myExchang;
    bd.replaced = (void *)&exchangeP; 
    struct rebinding bd2;
    bd2.name = "method_setImplementation";
    bd2.replacement = myExchang;
    bd2.replaced = (void *)&setIMP;

//    method_setImplementation

    struct rebinding rebindings[] = {bd,bd2};
    rebind_symbols(rebindings, 2);
}

//保留原来的交换函数
IMP _Nonnull (*setIMP)(Method _Nonnull m, IMP _Nonnull imp);
void (*exchangeP)(Method _Nonnull m1, Method _Nonnull m2);

//新的函数
void myExchang(Method _Nonnull m1, Method _Nonnull m2){
    NSLog(@"检测到了HOOK!!!");
    //强制退出!
    exit(1);
}
-(void)click1Hook:(id)sendr{
    NSLog(@"原来APP的HOOK保留!!");
}
收藏
0
sina weixin mail 回到顶部