Qinz

fishHook是Facebook提供的一个动态修改链接mach-O文件的工具。利用MachO文件加载原理，通过修改懒加载表(Lazy Symbol Pointers)和非懒加载表(Non-Lazy Symbol Pointers)这两个表的指针达到C函数HOOK的目的，在逆向中使用比较多，fishHook代码下载。

一、fishHook原理分析

1. 下载下来后我们会发现头文件和简单,一个结构体和两个方法。

struct rebinding {
  const char *name;//需要HOOK的函数
  void *replacement;//新函数IMP
  void **replaced;//原始函数IMP
};

FISHHOOK_VISIBILITY
int rebind_symbols(struct rebinding rebindings[], size_t rebindings_nel);

FISHHOOK_VISIBILITY
int rebind_symbols_image(void *header,
                         intptr_t slide,
                         struct rebinding rebindings[],
                         size_t rebindings_nel);

• 1.1 接下来我们简单使用fishHook来hook系统的NSLog方法如下：

- (void)viewDidLoad {
    [super viewDidLoad];
    
    NSLog(@"Qinz");
    //rebinding结构体
    struct rebinding nslog;
    nslog.name = "NSLog";
    nslog.replacement = myNslog;
    //原始函数保存在sys_nslog
    nslog.replaced = (void *)&sys_nslog;
    //rebinding结构体数组
    struct rebinding rebs[1] = {nslog};
    /**
     * 存放rebinding结构体的数组
     * 数组的长度
     */
    rebind_symbols(rebs, 1);
}

//函数指针
static void(*sys_nslog)(NSString * format,...);
//定义一个新的函数
void myNslog(NSString * format,...){
    format = [format stringByAppendingString:@"🍺---hook住了---🍺"];
    //调用原始的
    sys_nslog(format);
}
-(void)touchesBegan:(NSSet<UITouch *> *)touches withEvent:(UIEvent *)event
{
    NSLog(@"---  点击屏幕 -------");
}

2. 控制台会输出如下

---  点击屏幕 -------🍺---hook住了---🍺

3. 我们都知道，C函数是在编译的时候就确定了地址，而系统的函数由于共享缓存库的存在dyld这篇文章有讲解共享缓存库,运行时才由dyld指定地址，这样就产生了冲突，为了解决这个问题，苹果采用了PIC技术（位置独立代码）。 通过位置独立代码技术，让系统函数NSLog在编译阶段指向一个虚拟地址，该地址存放在macho文件的_DATA段，这个段专门用来存放指向外部函数的指针。通过MachOView我们查看到NSLog的虚拟偏移地址如下：

NSLog函数虚拟偏移地址

4. 为了证明函数在调用前指向的是虚拟地址，我们通过代码来证明，使用MachO文件首地址加上虚拟偏移地址减去pageZero地址，即可以得到真实内存地址，命令如下：

//MachO文件首地址+NSLog偏移地址-pageZero地址得到真实内存地址
 x 0x00000001044ac000+0x100008018-0x100000000

5. 前8字节存放地址，通过iOS小端模式从右往左读取地址查看汇编代码，通过汇编代码很容易看出这里并不是一个函数的调用代码，说白了，这段代码相当于苹果给NSLog开了一个空头支票，如下图:

真实地址看函数调用

6. 接下来我们过掉断点，让NSLog执行，然后重新读取，会发现地址已经改变，通过汇编可以看到调用了NSLog函数，从而证明了编译时期绑定的地址是一个虚拟地址。

NSLog真实地址

7. 所以系统函数调用过程如下:一但macho文件被dyld加载进内存的时候,dyld会MachO文件调用的函数，去共享缓存库寻找对应的函数指针,然后将_DATA段里面对应的IMP地址切换为真实的IMP地址，这样就间接实现了调用，从而使用PIC技术就解决了上面的冲突问题。

8. fishHook就是使用IMP的重新绑定，达到hook的目的。 当我们使用fishHook进行符号重绑定时，系统的NSLog地址发生了变化，实际上这里的地址IMP指向了我们自己的函数，通过IMP的交换达到了Hook的目的，如下图:。

IMP重新绑定

二、fishHook寻址流程：

1. 通过上面我们知道在懒加载符号表（Lazy Symblo Pointers）中，NSLog的虚拟偏移地址为0x10000b018,Lazy Symblo Pointers与Indirect Symbols表一一对应，如下图:

懒加载符号表

2. 我们可以看到NSLog函数在Symol表中对应的下标是0000007A，换算为10进制的下标值为122，如下图：

符号表

3. 接下来找到Symbol表中#122位置，可以看到NSLog函数地址对应到了Sting Table Index表中0x9B的偏移地址，如下图：

符号表

4. 通过Sting Table标的0x9B偏移值加上首地址,即:0000009B+0000CEFC = 0xCF97，如下图:

5. 最终通过 0xCF97找到NSLog位置，如下图:

6. 官方给的寻址流程如下

总结：fishHook就是根据PIC技术和共享缓存库的关系，通过一个一个的表最终找到NSLog虚拟偏移地址，然后在运行时交换函数的IMP来达到hook目的。

我的Qinz,希望我的文章对你有帮助。