本文主要介绍Mach-O文件的内部结构的演示
Mach-O文件结构
下面更多的是Mach-O的结构演示，更多的Mach-O介绍可以查看iOS-底层原理 32：启动优化（一）基本概念，这里并不详细讲解
Mach-O内部结构
因为MachO文件本身是一种文件格式，所以我们一定需要了解其文件内部结构。其内部结果如下图所示：
Mach-O 的组成结构主要分为三部分
Header包含该二进制文件的一般信息
- 字节顺序、架构类型、加载指令的数量等。
- 使得可以快速确认一些信息，比如当前文件用于32位还是64位，对应的处理器是什么、文件类型是什么
Load commands（加载命令） 一张包含很多内容的表
- 内容包括
区域的位置、符号表、动态符号表等。
Data(数据) 通常是对象文件中最大的部分
- 包含
Segement的具体数据，首先是分段，然后段中`分节
终端命令：otool
在终端中，我们通过otool 查看Mach-O的一些指令
查看Mach-O的Header信息：otool -f 12-macho
MachOView软件
- 通过
MachOView查看Mach-O文件
验证ARM_V7与ARM_V7s之间是否是分页？
- ARM_V7与ARM_V7s的差值：
16384+79376 - 98304 = -2544 ARM_V7的大小：-2544 - 79376 = - 81920，查看这个值是否是 pageSize（4096）的倍数- 是否是PAGESIZE的倍数：
81920 / 4096 = 20(MacOS中)，但是由于是iOS，所以20 / 4 = 5页，说明是分页了，即按页对齐
两者对比
- otool与MachOView查看的Mach-O进行对比
MachOView演示
通过MachOView查看Mach-O结构，分为三部分：Header、Load Commands、Data
1、查看arm64下Mach-O的Header
2、查看Load Commands
VM Addr: 虚拟内存地址
- -
VM Size： 虚拟内存大小，在运行时刻，在内存中的大小，4g
- 64位地址：0x12345678a2345678
- 32位地址：0x12345678
File offset: 数据在文件中偏移量File size: 数据在文件中的大小
- 3、 Section中分为两大类：
__TEXT（代码）、__DATA（数据）
1、Header的数据结构
- 在
CMD+shift+O搜索loader.h,找到Mach_Header_64(arm64架构)的数据结构如下所示，与mach_header相比，只是多了一个reverse
<!--1、mach_header--> struct mach_header { uint32_t magic; /* 魔数，快速定位属于64还是32位 */ cpu_type_t cputype; /* CPU类型 */ cpu_subtype_t cpusubtype; /* CPU的具体类型 */ uint32_t filetype; /* 文件类型，比如可执行文件 */ uint32_t ncmds; /* Load Commands的条数 */ uint32_t sizeofcmds; /* Load Commands的大小 */ uint32_t flags; /* 标志位标识二进制文件支持的功能，主要是和系统加载、链接有关 */ }; <!--2、mach_header_64--> struct mach_header_64 { uint32_t magic; /* 魔数，快速定位属于64还是32位 */ cpu_type_t cputype; /* CPU类型 */ cpu_subtype_t cpusubtype; /* CPU的具体类型 */ uint32_t filetype; /* 文件类型，比如可执行文件 */ uint32_t ncmds; /* Load Commands的条数 */ uint32_t sizeofcmds; /* Load Commands的大小 */ uint32_t flags; /* 标志位标识二进制文件支持的功能，主要是和系统加载、链接有关 */ uint32_t reserved; /* reserved */ };
- 2、查看filetype种类
- OC文件：
#define MH_OBJECT 0x1 - 可执行文件：
#define MH_EXECUTE 0x2 - ...
2、Load Commands
Load Commands中的相关字段含义如下所示
演示
- 1、
LC_SEGMENT_64中__TEXT、__DATA、LINKEDIT的对应关系如下图所示
2、查看LC_DYLD_INFO_ONLY动态链接信息
其中Rebase是重定向，重定向过程简述如下：
- 1）
代码段放入Mach-O文件，在编译时期，会生成一个偏移地址 - 2）在运行时期，
mach-o文件放入虚拟内存，其内存也是随机变化的（由系统分配 - ASLR） - 3）所以之前的代码段在mach-O中偏移值就不性能使用了，需要通过
ASLR + Rebase Info Offset重定向，主要改变的是汇编代码
- 3、查看
LC_SYMTAB符号地址
4、查看LC_LOAD_DYLINKER，使用谁链接，这里使用的是dyld
6、查看LC_UUID，mach-o文件识别的唯一标识
7、查看LC_VERSION_MIN_MACOSX，支持的最低版本信息
8、查看LC_SOURCE_VERSION，代码版本
9、查看LC_MAIN，入口函数
- 作用：用于逆向时找不到切入点时（例如：做了防护，运行就闪退），可以从这里找到
- 10、查看
LC_ENCRYPTION_INFO_64，此时Crypt ID为0，表示还没有加密
3、Data
- 1、如果我们想快速定位代码段，需要通过
LC_SEGMENT_64(__TEXT)中的VM Adress
2、查看 代码段的起始位置
也可以通过objdump命令来查看:objdump --macho -d 12-macho
- 从这里看出，正好与Mach-O文件中的对应
- 3、查看stub、stub_helper：主要是用于符号绑定，这里的
0x1000065d4全是指向的000325D4偏移，且前面6句汇编都是在做符号绑定
4、查看外部符号表（即 调用外部函数，只有在运行时才绑定），有两个：懒加载、非懒加载
- 这里是先
绑定专门用来绑定外部的函数，在用这个函数去绑定其他函数
总结
- Mach-O内部结构
Header：用于快速确定该文件的CPU类型、文件类型Load Commands：指示加载器如何设置并加载二进制数据Data：存放数据，例如代码、数据、字符串常量、类、方法等，
Section中分为两大类：__TEXT（代码）、__DATA（数据）
- 可以通过
otool命令查看Mach-O信息，例如查看Header信息：otool -f 12-macho - 可以通过
objdump命令来查看代码段:objdump --macho -d 12-macho
