HOOK原理 - 符琼林的个人博客

HOOK概述

HOOK(钩子) 其实就是改变程序执行流程的一种技术的统称!

iOS中HOOK技术的几种方式

1、Method Swizzle

利用OC的Runtime特性，动态改变SEL（方法编号）和IMP（方法实现）的对应关系，达到OC方法调用流程改变的目的。主要用于OC方法。

2、fishhook

它是Facebook提供的一个动态修改链接mach-O文件的工具。利用MachO文件加载原理，通过修改懒加载和非懒加载两个表的指针达到C函数HOOK的目的。

3、Cydia Substrate

Cydia Substrate 原名为 Mobile Substrate ，它的主要作用是针对OC方法、C函数以及函数地址进行HOOK操作。当然它并不是仅仅针对iOS而设计的，安卓一样可以用。官方地址：http://www.cydiasubstrate.com/

Cydia Substrate主要由3部分组成：

MobileHooker MobileHooker顾名思义用于HOOK。它定义一系列的宏和函数，底层调用objc的runtime和fishhook来替换系统或者目标应用的函数.

其中有两个函数:
- MSHookMessageEx 主要作用于Objective-C方法
```
void MSHookMessageEx(Class class, SEL selector, IMP replacement, IMP result)
```

MSHookFunction 主要作用于C和C++函数

  void MSHookFunction(voidfunction,void* replacement,void** p_original)

Logos语法的%hook 就是对此函数做了一层封装

MobileLoader

MobileLoader用于加载第三方dylib在运行的应用程序中。启动时MobileLoader会根据规则把指定目录的第三方的动态库加载进去，第三方的动态库也就是我们写的破解程序.
safe mode

因为APP程序质量参差不齐崩溃再所难免，破解程序本质是dylib，寄生在别人进程里。系统进程一旦出错，可能导致整个进程崩溃,崩溃后就会造成iOS瘫痪。所以CydiaSubstrate引入了安全模式,在安全模式下所有基于CydiaSubstratede 的三方dylib都会被禁用，便于查错与修复。

fishHook

struct rebinding {
  const char *name;//需要HOOK的函数名称,字符串
  void *replacement;//替换到哪个新的函数上(函数指针,也就是函数名称)
  void **replaced;//保存原始函数指针变量的指针(它是一个二级指针)
};

- (void)viewDidLoad {
    [super viewDidLoad];
        //定义rebinding结构体
        struct rebinding nslogBind;
        //函数的名称
        nslogBind.name = "NSLog";
        //新的函数地址
        nslogBind.replacement = &myNSLog;
        //保存原始函数地址的变量 的指针
        nslogBind.replaced = (void *)&orig_nslog;

        //定义数组!里面放的rebingdin结构体!
        struct rebinding rebs[] = {nslogBind};

        /*  用于重新绑定符号
         *  arg1: 存放rebinding结构体的数组
         *  arg2: 数组的长度
         */
        rebind_symbols(rebs, 1);
    printf("修改完毕了");

}

//函数指针,用来保存原始函数的地址.
static void (*orig_nslog)(NSString *format, ...);

//新的NSLog
void myNSLog(NSString *format, ...){
    format = [format stringByAppendingString:@"\n勾上了"];
    //由于不知道NSLog的内部实现..所以保留原始调用
    orig_nslog(format);
}

- (void)touchesBegan:(NSSet<UITouch *> *)touches withEvent:(UIEvent *)event {
    NSLog(@"点击了屏幕!");
}

原理探究

MachO被谁加载的？dyld动态加载
ASLR技术 MachO文件加载的时候是随机地址！

C语言函数是静态的，是地址。函数编译后成内存地址。函数除了自己写的外，还有动态库的，动态库不在MachO文件里面，也就是说像NSLog这样的函数一定不在内存区，有可能在系统的某个动态库里面，每次MachO加载的时候都是随机值，MachO到NSLog函数的地址的偏移地址每次都是变化的，如何在MachO里面找到系统的函数地址呢？每次启动系统的动态库地址值不固定，版本容量也不固定，APP启动前根本不知道要调用的系统的库的函数的真实地址

iOS签名的时候加密哈希不是针对整个MachO文件，而是针对每一页函数page，保证了dyld在加载MachO是每一个模块进行独立验证，64位系统每一页是16kb大小，page页分为可读，只读(代码段)，读写(数据段)

苹果对于MachO采用的了PIC(位置代码独立)技术
- MachO内部需要调用系统的库函数时
- 先在——DATA段中建立一个指针，指向外部函数！数据段可读可写，在程序运行过程中可以修改，它留了八个字节的数据在那里，放的全是0，当MachO被加载进去的后，它就会将里面的数据指向NSLog函数，间接指向，这个操作由dyld执行
- dyld会动态进行绑定，将MachO中的DATA段中的指针，指向外部函数
- DATA段中的指针就是符号，它指向内部的函数调用，指向外部的函数地址
- image list 第一个就是MachO的偏移地址
Lazy Symbol Pointers(懒加载符号表)和Dynamic Symbol Table 一一对应

Lazy Symbol Pointers找到Dynamic Symbol Table的偏移找到Symbols符号表，再通过index值找StingTableIndex的偏移，找到最终方法字符串 https://github.com/facebook/fishhook

反Hook

//方法交换
method_getImplementation(Method  _Nonnull m)
method_setImplementation(Method  _Nonnull m, IMP  _Nonnull imp)

class_getInstanceMethod(Class  _Nullable __unsafe_unretained cls, SEL  _Nonnull name)

fishhook、Cydia Substrate