了解mach-o文件结构

缺乏、安全感 2022-07-29 10:39 55阅读 0赞

//====== 真心觉得这哥们写的不错！受用了 =====//

**文章出处：[http://www.blogfshare.com/ioss-mach-o.html][http_www.blogfshare.com_ioss-mach-o.html]**

我们知道Windows下的文件都是PE文件，同样在OS X和iOS中可执行文件是Mach-o格式的。

所以我们如果要进行逆向分析，首先要熟悉Mach-o文件结构。  
Mach-o包含三个基本区域：

*  头部（header structure）。
 *  加载命令（load command）。
 *  段（segment）。可以拥有多个段（segment），每个段可以拥有零个或多个区域（section）。每一个段（segment）都拥有一段虚拟地址映射到进程的地址空间。
 *  链接信息。一个完整的用户级Mach-o文件的末端是链接信息。其中包含了动态加载器用来链接可执行文件或者依赖库所需使用的符号表，字符串表等等。

[![155909fovzv4dyqi9wb64o][]][155909fovzv4dyqi9wb64o]你也可以在[这里][Link 1]找到Mach-o的官方资料。

一、我们先使用otool工具来查看Mach-o的头部，看看都包含哪些信息。

[![Snip20150112\_7][Snip20150112_7]][Snip20150112_7]

头部的的结构如下（32位）：

1.magic，是mach-o文件的魔数，0xfeedface代表的是32位，0xfeedfacf代表64位

2.cputype和cupsubtype代表的是cpu的类型和其子类型，例子中分别是c和9,定义如下：

\#define CPU\_TYPE\_ARM((cpu\_type\_t) 12)

\#define CPU\_SUBTYPE\_ARM\_V7((cpu\_subtype\_t) 9

即为：armv7

3.接着是filetype，2，代表可执行的文件  
\#defineMH\_EXECUTE 0×2

4.ncmds 指的是加载命令(load commands)的数量，例子中一共23个，编号0-22

5.sizeofcmds 表示23个load commands的总字节大小， load commands区域是紧接着header区域的。

6.最后个flags，例子中是0×00200085，可以按文档分析之。

[![Snip20150112\_8][Snip20150112_8]][Snip20150112_8]

当然不用工具，直接使用UE看也是一样的。按照定义的结构来就行了。

[![Snip20150112\_13][Snip20150112_13]][Snip20150112_13]  
二、头部之后就是加载命令。加载命令的数目以及总的大小在header中已经给出。

[![Snip20150112\_9][Snip20150112_9]][Snip20150112_9]

1.cmd 是load command的类型,本文中值＝1就是LC\_SEGMENT，,LC\_SEGMENT的含义是(将文件中的段映射到进程地址空间)

2.cmdsize 代表load command的大小(0×58个字节)。

3.segname 16字节的段名字，当前是\_\_PAGEZERO。

4.vmaddr 段的虚拟内存起始地址

5.vmsize 段的虚拟内存大小

6.fileoff 段在文件中的偏移量

7.filesize 段在文件中的大小

8.maxprot 段页面所需要的最高内存保护（4=r,2=w,1=x）

9.initprot 段页面初始的内存保护

10.nsects 段中包含section的数量

11.flags 其他杂项标志位

三、接下来就是节了：

[![Snip20150112\_10][Snip20150112_10]][Snip20150112_10]

结构如下：

<table style="margin:0px 0px 1.5rem; padding:0px; vertical-align:baseline; outline:0px; font-size:13px; background-color:transparent; border:0px; border-collapse:collapse; border-spacing:0px; width:542px; line-height:1.4em"> 
 <tbody style="margin:0px; padding:0px; vertical-align:baseline; outline:0px; background-color:transparent; border:0px; line-height:1.4em"> 
 <tr style="margin:0px; padding:0px; vertical-align:baseline; outline:0px; background-color:transparent; border:0px; line-height:1.4em"> 
 <td style="margin:0px; padding:5px; vertical-align:baseline; outline:0px; font-size:13px; background-color:rgb(238,238,238); border-width:0px 1px 0px 0px; border-right-style:solid; border-right-color:rgb(159,159,159); text-align:right; color:rgb(136,136,136); line-height:1.4em; font-family:Monaco,'Lucida Console',monospace"> 
 <div style="margin:0px; padding:0px; vertical-align:baseline; outline:0px; background-color:transparent; border:0px; line-height:1.4em; width:23px">
 1 
 2 
 3 
 4 
 5 
 6 
 7 
 8 
 9 
 10 
 11 
 12 
 13 
 
 </div> </td> 
 <td style="margin:0px; padding:0px; vertical-align:baseline; outline:0px; font-size:13px; background-color:rgb(252,252,252); border:0px; color:rgb(133,133,133); line-height:1.4em; font-family:Monaco,'Lucida Console',monospace"> 
 <div style="margin:0px; padding:5px; vertical-align:baseline; outline:0px; background-color:rgb(241,241,241); border:0px; line-height:1.4em; color:rgb(0,0,0)"> 
 struct&nbsp;section&nbsp; 
 { &nbsp; 
 &nbsp; &nbsp;&nbsp; 
 char&nbsp;sectname 
 [ 
 16 
 ] 
 ;&nbsp; 
 &nbsp; &nbsp;&nbsp; 
 char&nbsp;segname 
 [ 
 16 
 ] 
 ;&nbsp; 
 &nbsp; &nbsp;&nbsp; 
 uint32_t&nbsp;addr 
 ;&nbsp; 
 &nbsp; &nbsp;&nbsp; 
 uint32_t&nbsp;size 
 ;&nbsp; 
 &nbsp; &nbsp;&nbsp; 
 uint32_t&nbsp;offset 
 ;&nbsp; 
 &nbsp; &nbsp;&nbsp; 
 uint32_t&nbsp;align 
 ;&nbsp; 
 &nbsp; &nbsp;&nbsp; 
 uint32_t&nbsp;reloff 
 ;&nbsp; 
 &nbsp; &nbsp;&nbsp; 
 uint32_t&nbsp;nreloc 
 ;&nbsp; 
 &nbsp; &nbsp;&nbsp; 
 uint32_t&nbsp;flags 
 ;&nbsp; 
 &nbsp; &nbsp;&nbsp; 
 uint32_t&nbsp;reserved1 
 ;&nbsp; 
 &nbsp; &nbsp;&nbsp; 
 uint32_t&nbsp;reserved2 
 ; 
 
 } 
 ; 
 </div> </td> 
 </tr> 
 </tbody> 
</table>

1.sectname 第一个是\_\_text ,就是主程序代码

2.segname 该section所属的 segment名，第一个是\_\_TEXT

3.addr 该section在内存的启始位置，0xa588。

4.size 该section的大小，0x84a

5.offset 该section的文件偏移，28116 0x6dd4

6.align 字节大小对齐 ，4

7. reloff 重定位入口的文件偏移，0

8.nreloc 需要重定位的入口数量，0

9.flags 包含section的type和attributes

S\_REGULAR—This section has no particular type. The standard tools create a \_\_TEXT,\_\_text section of this type.

结构中的最后2项保留用。

段的命名规则是两个下划线紧跟着大写字母（如\_\_TEXT），而section的命名则是两个下划线紧跟着小写字母（\_\_text）。

下面列出段中可能包含的section：

\_\_TEXT段:  
\_\_text, \_\_cstring, \_\_picsymbol\_stub, \_\_symbol\_stub, \_\_const, \_\_litera14, \_\_litera18;

\_\_DATA段  
\_\_data, \_\_la\_symbol\_ptr, \_\_nl\_symbol\_ptr, \_\_dyld, \_\_const, \_\_mod\_init\_func, \_\_mod\_term\_func, \_\_bss, \_\_commom;

\_\_IMPORT段  
\_\_jump\_table, \_\_pointers;

其中\_\_TEXT段中的\_\_text是实际上的代码部分；\_\_DATA段的\_\_data是实际的初始数据。

可以通过otool –s查看某segment的某个section。

[![Snip20150112\_11][Snip20150112_11]][Snip20150112_11]  
可以通过otool –t直接查看代码段（\_\_TEXT）的反汇编代码:

[![Snip20150112\_12][Snip20150112_12]][Snip20150112_12]

其它的大家参考官方文档就行了。

[http_www.blogfshare.com_ioss-mach-o.html]: http://www.blogfshare.com/ioss-mach-o.html
[155909fovzv4dyqi9wb64o]: http://www.blogfshare.com/wp-content/uploads/2015/01/155909fovzv4dyqi9wb64o.png
[Link 1]: https://developer.apple.com/library/mac/documentation/DeveloperTools/Conceptual/MachORuntime/index.html
[Snip20150112_7]: http://www.blogfshare.com/wp-content/uploads/2015/01/Snip20150112_7.png
[Snip20150112_8]: http://www.blogfshare.com/wp-content/uploads/2015/01/Snip20150112_8.png
[Snip20150112_13]: http://www.blogfshare.com/wp-content/uploads/2015/01/Snip20150112_13.png
[Snip20150112_9]: http://www.blogfshare.com/wp-content/uploads/2015/01/Snip20150112_91.png
[Snip20150112_10]: http://www.blogfshare.com/wp-content/uploads/2015/01/Snip20150112_10.png
[Snip20150112_11]: http://www.blogfshare.com/wp-content/uploads/2015/01/Snip20150112_11.png
[Snip20150112_12]: http://www.blogfshare.com/wp-content/uploads/2015/01/Snip20150112_12.png