一、基础概念#

Mach-O文件其实是MachObject文件格式的缩写。是Mac以及iOS上客户性文件的格式。
属于MachO格式的常见文件：
- 目标文件.o
- 库文件
  - .a
  - .dylib
  - Framework
- 可执行文件
- dyld
- .dsym
file指令可以产看文件类型

二、我们通过一个简单的例子来看下MachO是怎么生成的#

Test.c

1
# include <stdio.h>
2

3
int main() {
4
    printf("Hello world");
5
    return 1;
6
}

Test2.c

1
# include <stdio.h>
2

3
int main2() {
4
    printf("Hello money");
5
    return 1;
6
}

2.1 源文件编译为.o文件（中间对象文件）#

执行命令clang -c Test.c Test2.c

看到编译出了两个对应的.o文件

可以直接 -o 一步到位

2.2 将.o文件生成可执行文件#

执行命名clang -o TestEx Test.o Test2.o

生成TestEx的可执行文件，通过file指令确认一下，这里可以发现生成的就是MachO文件了

1
file TestEx
2
TestEx: Mach-O 64-bit executable x86_64

2.3 链接顺序对MachO文件的影响#

我们看下当前生成TestEx文件的MD5

1
md5 TestEx
2
MD5 (TestEx) = 3db04e90a4e078438a03f7cb9d8bf8c8

再执行命名clang -o TestEx2 Test2.o Test.o，调整.o文件顺序。

1
➜  Create md5 TestEx2
2
MD5 (TestEx2) = b32bbfd76c8784f8a517249f5f7c4bec

通过objdump查看MachO文件数据#

1
➜  Create objdump --macho -d TestEx
2
TestEx:
3
(__TEXT,__text) section
4
_main:
5
100003f20:  55  pushq  %rbp
6
100003f21:  48 89 e5  movq  %rsp, %rbp
7
100003f24:  48 83 ec 10  subq  $16, %rsp
8
100003f28:  c7 45 fc 00 00 00 00  movl  $0, -4(%rbp)
9
100003f2f:  48 8d 3d 60 00 00 00  leaq  96(%rip), %rdi ## literal pool for: "Hello world"
10
100003f36:  b0 00  movb  $0, %al
11
100003f38:  e8 39 00 00 00  callq  0x100003f76 ## symbol stub for: _printf
12
100003f3d:  b9 01 00 00 00  movl  $1, %ecx
13
100003f42:  89 45 f8  movl  %eax, -8(%rbp)
14
100003f45:  89 c8  movl  %ecx, %eax
15
100003f47:  48 83 c4 10  addq  $16, %rsp
16
100003f4b:  5d  popq  %rbp
17
100003f4c:  c3  retq
18
100003f4d:  90  nop
19
100003f4e:  90  nop
20
100003f4f:  90  nop
21
_main2:
22
100003f50:  55  pushq  %rbp
23
100003f51:  48 89 e5  movq  %rsp, %rbp
24
100003f54:  48 83 ec 10  subq  $16, %rsp
25
100003f58:  48 8d 3d 43 00 00 00  leaq  67(%rip), %rdi ## literal pool for: "Hello money"
26
100003f5f:  b0 00  movb  $0, %al
27
100003f61:  e8 10 00 00 00  callq  0x100003f76 ## symbol stub for: _printf
28
100003f66:  b9 01 00 00 00  movl  $1, %ecx
29
100003f6b:  89 45 fc  movl  %eax, -4(%rbp)
30
100003f6e:  89 c8  movl  %ecx, %eax
31
100003f70:  48 83 c4 10  addq  $16, %rsp
32
100003f74:  5d  popq  %rbp
33
100003f75:  c3  retq

1
➜  Create objdump --macho -d TestEx2
2
TestEx2:
3
(__TEXT,__text) section
4
_main2:
5
100003f20:  55  pushq  %rbp
6
100003f21:  48 89 e5  movq  %rsp, %rbp
7
100003f24:  48 83 ec 10  subq  $16, %rsp
8
100003f28:  48 8d 3d 6f 00 00 00  leaq  111(%rip), %rdi ## literal pool for: "Hello money"
9
100003f2f:  b0 00  movb  $0, %al
10
100003f31:  e8 48 00 00 00  callq  0x100003f7e ## symbol stub for: _printf
11
100003f36:  b9 01 00 00 00  movl  $1, %ecx
12
100003f3b:  89 45 fc  movl  %eax, -4(%rbp)
13
100003f3e:  89 c8  movl  %ecx, %eax
14
100003f40:  48 83 c4 10  addq  $16, %rsp
15
100003f44:  5d  popq  %rbp
16
100003f45:  c3  retq
17
100003f46:  90  nop
18
100003f47:  90  nop
19
100003f48:  90  nop
20
100003f49:  90  nop
21
100003f4a:  90  nop
22
100003f4b:  90  nop
23
100003f4c:  90  nop
24
100003f4d:  90  nop
25
100003f4e:  90  nop
26
100003f4f:  90  nop
27
_main:
28
100003f50:  55  pushq  %rbp
29
100003f51:  48 89 e5  movq  %rsp, %rbp
30
100003f54:  48 83 ec 10  subq  $16, %rsp
31
100003f58:  c7 45 fc 00 00 00 00  movl  $0, -4(%rbp)
32
100003f5f:  48 8d 3d 44 00 00 00  leaq  68(%rip), %rdi ## literal pool for: "Hello world"
33
100003f66:  b0 00  movb  $0, %al
34
100003f68:  e8 11 00 00 00  callq  0x100003f7e ## symbol stub for: _printf
35
100003f6d:  b9 01 00 00 00  movl  $1, %ecx
36
100003f72:  89 45 f8  movl  %eax, -8(%rbp)
37
100003f75:  89 c8  movl  %ecx, %eax
38
100003f77:  48 83 c4 10  addq  $16, %rsp
39
100003f7b:  5d  popq  %rbp
40
100003f7c:  c3  retq

可以确定生成的MachO文件不同了。

MachO是一系列.o文件的集合

三：MachO文件结构#

3.1 Header#

包含了二进制文件的一般信息
- 字节顺序、架构类型、加载指令的数量等
- 使得一些信息可以快速确认
  - 比如当前文件是用于32位还是64位，对应的处理器是什么、文件类型是什么

可以再Xcode中快速打开文件 Loader.h查看，这个文件时学习MachO非常好的一个入口！

1
/*
2
 * The 64-bit mach header appears at the very beginning of object files for
3
 * 64-bit architectures.
4
 */
5
struct mach_header_64 {
6
  uint32_t  magic;    /* mach magic number identifier */
7
  cpu_type_t  cputype;  /* cpu specifier */
8
  cpu_subtype_t  cpusubtype;  /* machine specifier */
9
  uint32_t  filetype;  /* type of file */
10
  uint32_t  ncmds;    /* number of load commands */
11
  uint32_t  sizeofcmds;  /* the size of all the load commands */
12
  uint32_t  flags;    /* flags */
13
  uint32_t  reserved;  /* reserved */
14
};

magic 快速定位是64位还是32位 cputype CPU类型，比如ARM cpusubtype CPU具体类型，比如：arm64/armv7 filetype 文件类型，比如：可执行文件 ncmds LoadCommands条数 sizeofcmds LoadCommands大小 flags 标志位，标识二进制文件支持的功能。主要是和系统加载、链接有关。

使用`otool`查看`Header`内容#

1
➜  Create otool -v -h TestEx2
2
TestEx2:
3
Mach header
4
      magic  cputype cpusubtype  caps    filetype ncmds sizeofcmds      flags
5
MH_MAGIC_64   X86_64        ALL  0x00     EXECUTE    16       1368   NOUNDEFS DYLDLINK TWOLEVEL PIE

3.2 Load commands#

内容包括区域的位置、符号表、动态符号表等

Rebase info offset#

MachO文件在加载到内存中后（虚拟内存），会被分配一个随机的偏移值ASLR。我们使用静态分析工具看到的并不是真实的内存地址。

查看当前ASLR#

命令image list -o -f | grep 当前MachO文件名

1
(lldb) image list -o -f | grep WeChat
2
[  0] 0x0000000000118000 /Users/RyukieW/Library/Developer/Xcode/DerivedData/WeChat-ajurlvyhlazpsbhatmdivvridyee/Build/Products/Debug-iphoneos/WeChat.app/WeChat

ASLR 0x0000000000118000 （随机的每次都不一样）真实地址 0x10011e640