Mach-O二進(jìn)制文件

Mach-O的文件頭包含的內(nèi)容:

• 魔數(shù)
• CPU類(lèi)型及其子類(lèi)型
• 文件類(lèi)型
• 用于加載器的“加載命令”的條數(shù)和大小
• 動(dòng)態(tài)鏈接器的標(biāo)志

Mach-O的加載命令

內(nèi)核加載器會(huì)在加載的過(guò)程中使用這些命令來(lái)對(duì)進(jìn)程進(jìn)行一些設(shè)置：包括分配虛擬內(nèi)存、創(chuàng)建主線程、啟動(dòng)動(dòng)態(tài)鏈接器以及處理代碼簽名等工作。重要的命令有：

• LC_SEGMENT或者LC_SEGMENT_64（設(shè)置進(jìn)程的內(nèi)存空間）
• 代碼段（__TEXT）、數(shù)據(jù)段(__DATA)、用戶動(dòng)態(tài)鏈接的樁(__stubs、__stub_helper)、主程序代碼(__text)
• LC_LOAD_DYLINKER(內(nèi)核加載器在執(zhí)行該命令時(shí)啟動(dòng)動(dòng)態(tài)鏈接器)
• LC_MAIN(設(shè)置進(jìn)程的入口地址和棧大小，以及出程序計(jì)數(shù)器外的寄存器清零)
• LC_CODE_SIGNATURE(代碼簽名)

otool可以用來(lái)可以用來(lái)分析加載命令和代碼段，如：otool -l /bin/ls

動(dòng)態(tài)庫(kù)

動(dòng)態(tài)鏈接

少量的進(jìn)程只需要內(nèi)核加載器就能完成加載，OSX中幾乎所有的程序都是動(dòng)態(tài)鏈接的--即填補(bǔ)對(duì)外部庫(kù)和符號(hào)的引用。這個(gè)工作是由動(dòng)態(tài)鏈接器來(lái)完成。該過(guò)程也被稱為符號(hào)綁定。這個(gè)過(guò)程大概是這樣的：

如果二進(jìn)制文件使用了外部定義的函數(shù)或符號(hào)，那么在他們的文本段中就會(huì)有一個(gè)名為_(kāi)_stubs的區(qū)，在這個(gè)區(qū)中存放的是本地未定義符號(hào)的占位符。編譯器生成代碼時(shí)會(huì)創(chuàng)建對(duì)符號(hào)樁的調(diào)用，鏈接器在運(yùn)行的時(shí)候會(huì)解決對(duì)樁的這些調(diào)用--即在被調(diào)用的地址處放置一條JMP指令，并將控制權(quán)交給真實(shí)的函數(shù)體。但不會(huì)修改棧。因此真實(shí)的函數(shù)可以正常返回，就像直接調(diào)用函數(shù)一樣。

鏈接一般都是遞歸的，因?yàn)閹?kù)也有可能引用其他的庫(kù)。

共享庫(kù)緩存（shared library cache）

共享庫(kù)緩存是dyld支持的的另一種機(jī)制。是指：一些庫(kù)經(jīng)過(guò)預(yù)先鏈接，然后保存在磁盤(pán)的一個(gè)文件中。

在OS X中dyld共享緩存保存在/private/var/db/dyld目錄下。在iOS中則保存在/System/Library/Caches/com.apple.dyld.

運(yùn)行時(shí)加載

一般通過(guò)#include包含一些頭文件，這種方式構(gòu)建的可執(zhí)行文件只有在解決了所有依賴條件之后才能加載執(zhí)行。但是通過(guò)<dlfcn.h>頭文件提供的函數(shù)就可以在運(yùn)行時(shí)（runtime）加載庫(kù)。這樣函數(shù)有：

• dlopen(const char *path)
• dlopen_preflight(const char *path)
• dlsym(void *handle ,char *sym)
• dladdr(char *addr , DL_Info *info)
• dlerror()

Cocoa和Carbon為dl*系列提供了高層的封裝，以及CFBundle和NSBundle對(duì)象，用于加載Mach-O bundle文件。

弱定義的符號(hào)

• 通常情況下符號(hào)都是被聲明為強(qiáng)定義的，即文件在執(zhí)行之前必須先解析這些符號(hào)，若發(fā)生解析失敗，則程序運(yùn)行失敗，通常也會(huì)觸發(fā)調(diào)試器陷阱。
• 可以使用__attribute__(weak_import)將符號(hào)聲明為弱符號(hào)。這樣則在解析符號(hào)錯(cuò)誤的時(shí)候，不會(huì)觸發(fā)鏈接錯(cuò)誤，動(dòng)態(tài)鏈接器會(huì)將這個(gè)符號(hào)設(shè)置為NULL，效果跟運(yùn)行時(shí)加載動(dòng)態(tài)庫(kù)類(lèi)似（如dlopen）。

使用nm -m xxx.dylib可以顯示弱符號(hào)。

dyld的特性

兩級(jí)命名空間

• 通過(guò)將DYLD_FORCE_FLAT_NAMESPACE環(huán)境變量設(shè)置為非零即可禁用。
• 可執(zhí)行文件也可以在文件頭中設(shè)置MH_FORCE_FLAT標(biāo)志，強(qiáng)制對(duì)其加載的所有庫(kù)使用平坦命名空間。

函數(shù)攔截

• DYLD_INTERPOSE宏允許一個(gè)庫(kù)將其函數(shù)替換為另一個(gè)函數(shù)。（跟iOS的swizzle類(lèi)似）,例如：

DYLD_INTERPOSE(my_open ,open)

• dyld的函數(shù)攔截功能提供一個(gè)新的__DATA區(qū)，名為_(kāi)_interpose,在這個(gè)區(qū)中依次列出了替換的函數(shù)和被替換的函數(shù)，其他事情則交給dyld處理。例如：

static const interpose_t interposing_functions[] \\\\
    __attribute__(section("__DATA,__interpose")) = {
        {(void *)my_free , (void *)free },
        {(void *)my_malloc , (void *) malloc },
    };

完整代碼：

#include <stdio.h>
#include <unistd.h>
#include <fcntl.h>
#include <stdlib.h>
#include <malloc/malloc.h> // for malloc_printf()

// Note: Compile with GCC, not cc (important)
//
//
// This is the expected interpose structure
 typedef struct interpose_s { void *new_func;
                   void *orig_func; } interpose_t;
// Our prototypes - requires since we are putting them in 
//  the interposing_functions, below

void *my_malloc(int size); // matches real malloc()
void my_free (void *); // matches real free()

// For clang, add attribute(used)
static const interpose_t interposing_functions[] \\\\ 
    __attribute__ ((used, section("__DATA, __interpose"))) = {

 { (void *)my_free, (void *)free },
 { (void *)my_malloc, (void *)malloc } 

};

void *
my_malloc (int size) {
 // In our function we have access to the real malloc() -
 // and since we don’t want to mess with the heap ourselves,
 // just call it
 //
void *returned = malloc(size);
// call malloc_printf() because the real printf() calls malloc()
// // internally - and would end up calling us, recursing ad infinitum

  malloc_printf ( "+ %p %d\\\\n", returned, size); return (returned);
}
void
my_free (void *freed) {
// Free - just print the address, then call the real free()


  malloc_printf ( "- %p\\\\n", freed); free(freed);
}



#if 0
  From output 4-11:

 morpheus@Ergo(~)$ gcc -dynamiclib l.c -o libMTrace.dylib -Wall  // compile to dylib
 morpheus@Ergo(~)$ DYLD_INSERT_LIBRARIES=libMTrace.dylib ls     // force insert into ls
 ls(24346) malloc: + 0x100100020 88
 ls(24346) malloc: + 0x100800000 4096
 ls(24346) malloc: + 0x100801000 2160 
 ls(24346) malloc: - 0x100800000 
 ls(24346) malloc: + 0x100801a00 3312 ... // etc.

#endif

使用pagestuff命令可以顯示文件邏輯頁(yè)中的符號(hào)。如：pagestuff /usr/lib/libgmalloc.dylib 6,

進(jìn)程的地址空間

• 每一個(gè)進(jìn)程都有自己私有的虛擬地址空間。
• 32位地址空間，用戶態(tài)可訪問(wèn)整個(gè)4G的內(nèi)存空間。
• 64位的地址允許高達(dá)16EB（16GGB）
• 現(xiàn)代系統(tǒng)一般都會(huì)在每次啟動(dòng)進(jìn)程的時(shí)候，將其地址空間隨機(jī)化（隨機(jī)的給每個(gè)段加上地址偏移）。

使用vmmap命令來(lái)查看內(nèi)存的空間布局，可以加上參數(shù)-interleaved以清晰的方式導(dǎo)出地址空間。