你好,歡迎來到IOS教程網

 Ios教程網 >> IOS訊息 >> 關於IOS >> [原]iOS安全攻防(十七):Fishhook

[原]iOS安全攻防(十七):Fishhook

編輯:關於IOS
[收起] 文章目錄
  • 什麼是fishhook
  • 什麼是Mach-O
  • fishhook的原理
  • fishhook替換Core Foundation函數的例子

Fishhook

眾所周知,Objective-C的首選hook方案為Method Swizzle,於是大家紛紛表示核心內容應該用C寫。
接下來進階說說iOS下C函數的hook方案,先介紹第一種方案————fishhook .

什麼是fishhook

fishhook是facebook提供的一個動態修改鏈接Mach-O符號表的開源工具。

什麼是Mach-O

Mach-O為Mach Object文件格式的縮寫,也是用於iOS可執行文件,目標代碼,動態庫,內核轉儲的文件格式。
Mach-O有自己的dylib規范。

fishhook的原理

詳見官方的How it works,這裡我作個簡要說明。
dyld鏈接2種符號,lazy和non-lazy,fishhook可以重新鏈接/替換本地符號。

 

如圖所示,__DATA區有兩個section和動態符號鏈接相關:__nl_symbol_ptr 、__la_symbol_ptr。__nl_symbol_ptr為一個指針數組,直接對應non-lazy綁定數據。__la_symbol_ptr也是一個指針數組,通過dyld_stub_binder輔助鏈接。<mach-o/loader.h>的section頭提供符號表的偏移量。
圖示中,1061是間接符號表的偏移量,*(偏移量+間接符號地址)=16343,即符號表偏移量。符號表中每一個結構都是一個nlist結構體,其中包含字符表偏移量。通過字符表偏移量最終確定函數指針。

fishhook就是對間接符號表的偏移量動的手腳,提供一個假的nlist結構體,從而達到hook的目的。

fishhook替換符號函數:

int rebind_symbols(struct rebinding rebindings[], size_t rebindings_nel) {
  int retval = prepend_rebindings(rebindings, rebindings_nel);
  if (retval &lt; 0) {
    return retval;
  }
  // If this was the first call, register callback for image additions (which is also invoked for
  // existing images, otherwise, just run on existing images
  if (!rebindings_head-&gt;next) {
    _dyld_register_func_for_add_image(rebind_symbols_for_image);
  } else {
    uint32_t c = _dyld_image_count();
    for (uint32_t i = 0; i &lt; c; i++) {
      rebind_symbols_for_image(_dyld_get_image_header(i), _dyld_get_image_vmaddr_slide(i));
    }
  }
  return retval;
}

關鍵函數是 _dyld_register_func_for_add_image,這個函數是用來注冊回調,當dyld鏈接符號時,調用此回調函數。 rebind_symbols_for_image 做了具體的替換和填充。

fishhook替換Core Foundation函數的例子

以下是官方提供的替換Core Foundation中open和close函數的實例代碼

#import &lt;dlfcn.h&gt;

#import &lt;UIKit/UIKit.h&gt;

#import &quot;AppDelegate.h&quot;
#import &quot;fishhook.h&quot;

static int (*orig_close)(int);
static int (*orig_open)(const char *, int, ...);

void save_original_symbols() {
  orig_close = dlsym(RTLD_DEFAULT, &quot;close&quot;);
  orig_open = dlsym(RTLD_DEFAULT, &quot;open&quot;);
}

int my_close(int fd) {
  printf(&quot;Calling real close(%d)n&quot;, fd);
  return orig_close(fd);
}

int my_open(const char *path, int oflag, ...) {
  va_list ap = {0};
  mode_t mode = 0;

  if ((oflag &amp; O_CREAT) != 0) {
    // mode only applies to O_CREAT
    va_start(ap, oflag);
    mode = va_arg(ap, int);
    va_end(ap);
    printf(&quot;Calling real open('%s', %d, %d)n&quot;, path, oflag, mode);
    return orig_open(path, oflag, mode);
  } else {
    printf(&quot;Calling real open('%s', %d)n&quot;, path, oflag);
    return orig_open(path, oflag, mode);
  }
}

int main(int argc, char * argv[])
{
  @autoreleasepool {
    save_original_symbols();
    //fishhook用法
    rebind_symbols((struct rebinding[2]){{&quot;close&quot;, my_close}, {&quot;open&quot;, my_open}}, 2);

    // Open our own binary and print out first 4 bytes (which is the same
    // for all Mach-O binaries on a given architecture)
    int fd = open(argv[0], O_RDONLY);
    uint32_t magic_number = 0;
    read(fd, &amp;magic_number, 4);
    printf(&quot;Mach-O Magic Number: %x n&quot;, magic_number);
    close(fd);

    return UIApplicationMain(argc, argv, nil, NSStringFromClass([AppDelegate class]));
  }
}

注釋//fishhook用法 處

rebind_symbols((struct rebinding[2]){{&quot;close&quot;, my_close}, {&quot;open&quot;, my_open}}, 2);

傳入rebind_symbols的第一個參數是一個結構體數組,大括號中為對應數組內容。

不得不說,facebook忒NB。

作者:yiyaaixuexi 發表於2014-2-12 0:08:03 原文鏈接 閱讀:8970 評論:19 查看評論
  1. 上一頁:
  2. 下一頁:
蘋果刷機越獄教程| IOS教程問題解答| IOS技巧綜合| IOS7技巧| IOS8教程
Copyright © Ios教程網 All Rights Reserved