Mach-O二進制文件
Mach-O的文件頭包含的內容:
- 魔數
- CPU類型及其子類型
- 文件類型
- 用于加載器的“加載命令”的條數和大小
- 動態鏈接器的標志
Mach-O的加載命令
內核加載器會在加載的過程中使用這些命令來對進程進行一些設置：包括分配虛擬內存、創建主線程、啟動動態鏈接器以及處理代碼簽名等工作。重要的命令有：
- LC_SEGMENT或者LC_SEGMENT_64（設置進程的內存空間）
- 代碼段（__TEXT）、數據段(__DATA)、用戶動態鏈接的樁(__stubs、__stub_helper)、主程序代碼(__text)
- LC_LOAD_DYLINKER(內核加載器在執行該命令時啟動動態鏈接器)
- LC_MAIN(設置進程的入口地址和棧大小，以及出程序計數器外的寄存器清零)
- LC_CODE_SIGNATURE(代碼簽名)
otool可以用來可以用來分析加載命令和代碼段，如：otool -l /bin/ls
動態庫
動態鏈接
少量的進程只需要內核加載器就能完成加載，OSX中幾乎所有的程序都是動態鏈接的--即填補對外部庫和符號的引用。這個工作是由動態鏈接器來完成。該過程也被稱為符號綁定。這個過程大概是這樣的：
如果二進制文件使用了外部定義的函數或符號，那么在他們的文本段中就會有一個名為__stubs的區，在這個區中存放的是本地未定義符號的占位符。編譯器生成代碼時會創建對符號樁的調用，鏈接器在運行的時候會解決對樁的這些調用--即在被調用的地址處放置一條JMP指令，并將控制權交給真實的函數體。但不會修改棧。因此真實的函數可以正常返回，就像直接調用函數一樣。
鏈接一般都是遞歸的，因為庫也有可能引用其他的庫。
共享庫緩存（shared library cache）
共享庫緩存是dyld支持的的另一種機制。是指：一些庫經過預先鏈接，然后保存在磁盤的一個文件中。
在OS X中dyld共享緩存保存在/private/var/db/dyld目錄下。在iOS中則保存在/System/Library/Caches/com.apple.dyld.
運行時加載
一般通過#include包含一些頭文件，這種方式構建的可執行文件只有在解決了所有依賴條件之后才能加載執行。但是通過<dlfcn.h>頭文件提供的函數就可以在運行時（runtime）加載庫。這樣函數有：
- dlopen(const char *path)
- dlopen_preflight(const char *path)
- dlsym(void *handle ,char *sym)
- dladdr(char *addr , DL_Info *info)
- dlerror()
Cocoa和Carbon為dl*系列提供了高層的封裝，以及CFBundle和NSBundle對象，用于加載Mach-O bundle文件。
弱定義的符號
- 通常情況下符號都是被聲明為強定義的，即文件在執行之前必須先解析這些符號，若發生解析失敗，則程序運行失敗，通常也會觸發調試器陷阱。
- 可以使用
__attribute__(weak_import)將符號聲明為弱符號。這樣則在解析符號錯誤的時候，不會觸發鏈接錯誤，動態鏈接器會將這個符號設置為NULL，效果跟運行時加載動態庫類似（如dlopen）。
使用
nm -m xxx.dylib可以顯示弱符號。
dyld的特性
兩級命名空間
- 通過將DYLD_FORCE_FLAT_NAMESPACE環境變量設置為非零即可禁用。
- 可執行文件也可以在文件頭中設置MH_FORCE_FLAT標志，強制對其加載的所有庫使用平坦命名空間。
函數攔截
- DYLD_INTERPOSE宏允許一個庫將其函數替換為另一個函數。（跟iOS的swizzle類似）,例如：
DYLD_INTERPOSE(my_open ,open)
- dyld的函數攔截功能提供一個新的__DATA區，名為__interpose,在這個區中依次列出了替換的函數和被替換的函數，其他事情則交給dyld處理。例如：
static const interpose_t interposing_functions[] \\\\
__attribute__(section("__DATA,__interpose")) = {
{(void *)my_free , (void *)free },
{(void *)my_malloc , (void *) malloc },
};
完整代碼：
#include <stdio.h>
#include <unistd.h>
#include <fcntl.h>
#include <stdlib.h>
#include <malloc/malloc.h> // for malloc_printf()
// Note: Compile with GCC, not cc (important)
//
//
// This is the expected interpose structure
typedef struct interpose_s { void *new_func;
void *orig_func; } interpose_t;
// Our prototypes - requires since we are putting them in
// the interposing_functions, below
void *my_malloc(int size); // matches real malloc()
void my_free (void *); // matches real free()
// For clang, add attribute(used)
static const interpose_t interposing_functions[] \\\\
__attribute__ ((used, section("__DATA, __interpose"))) = {
{ (void *)my_free, (void *)free },
{ (void *)my_malloc, (void *)malloc }
};
void *
my_malloc (int size) {
// In our function we have access to the real malloc() -
// and since we don’t want to mess with the heap ourselves,
// just call it
//
void *returned = malloc(size);
// call malloc_printf() because the real printf() calls malloc()
// // internally - and would end up calling us, recursing ad infinitum
malloc_printf ( "+ %p %d\\\\n", returned, size); return (returned);
}
void
my_free (void *freed) {
// Free - just print the address, then call the real free()
malloc_printf ( "- %p\\\\n", freed); free(freed);
}
#if 0
From output 4-11:
morpheus@Ergo(~)$ gcc -dynamiclib l.c -o libMTrace.dylib -Wall // compile to dylib
morpheus@Ergo(~)$ DYLD_INSERT_LIBRARIES=libMTrace.dylib ls // force insert into ls
ls(24346) malloc: + 0x100100020 88
ls(24346) malloc: + 0x100800000 4096
ls(24346) malloc: + 0x100801000 2160
ls(24346) malloc: - 0x100800000
ls(24346) malloc: + 0x100801a00 3312 ... // etc.
#endif
使用
pagestuff命令可以顯示文件邏輯頁中的符號。如：pagestuff /usr/lib/libgmalloc.dylib 6,
進程的地址空間
- 每一個進程都有自己私有的虛擬地址空間。
- 32位地址空間，用戶態可訪問整個4G的內存空間。
- 64位的地址允許高達16EB（16GGB）
- 現代系統一般都會在每次啟動進程的時候，將其地址空間隨機化（隨機的給每個段加上地址偏移）。
使用
vmmap命令來查看內存的空間布局，可以加上參數-interleaved以清晰的方式導出地址空間。
