背景
众所周知一个 iOS App 的程序入口是main.m, 但系统是怎么找到main.m的估计很多人就有疑问了,本文将详细解释这个问题.
dyld
dyld(the dynamic link editor), 动态链接器,是专门用来加载动态库以及主程序的库.
当kernel做好程序的启动准备工作之后,系统的执行由内核态转换为用户态,由 dyld 首先开始工作,iOS 中用到的所有系统framework都是动态库,比如最常用的UIKit.framework,Foundation.framework, 而这些动态库是手机内所有App共享的,所以需要在我们 App运行前加载进来.
dyld 主要的工作有:
- 初始化 App 运行环境
- 链接依赖的动态库以及主程序
- rebase / binding
- 返回 main.m 的函数地址
接下来分析下dyld 的源码.
源码分析
在 demo 里加[NSObject init]的符号断点来看下:
可以看到入口函数事在
dyid_start方法里的dyldbootstrap::start方法,接下来去源码里看看.在 dyld 源码里找到
dyldStartup.s找到了__dyld_start,这里只截取了arm架构的部分.通过注释可以看到有调用
dyldbootstrap::start,那顺着调用再往下看.在
dyldInitialization.cpp中找到了start- 首先通过
slideOfMainExecutable拿到随机地址的偏移量 - 调用
rebaseDyld重定位 - mach_init() mach消息初始化
- __guard_setup() 栈溢出?；?br>
接下来调用了
dyld::_main,将返回值传递给__dyld_start的调用main.m函数.
dyld::_main是dyld中的关键方法,代码也非常多,它的实现可以分为以下几步: (关键部分有注释)
- 设置运行环境
- 加载共享缓存
- 加载主程序
- 加载动态库
- 链接主程序
- 链接动态库
- 初始化主程序
- 返回入口地址
0x01 设置运行环境
0x02 加载共享缓存
checkSharedRegionDisable是检查共享缓存是否禁用,里面可以看到一行注释,iOS 必须开启共享缓存才能运行.
static void checkSharedRegionDisable(const dyld3::MachOLoaded* mainExecutableMH, uintptr_t mainExecutableSlide) {
// iOS cannot run without shared region
}
接下来调的mapSharedCache()就是加载共享缓存的逻辑,就不深入了.
0x03 加载主程序
这一步将主程序 Mach-O 加载进内存,并实例化了一个
ImageLoader.先看下instantiateFromLoadedImage的调用栈:其中
ImageLoader是一个抽象类,它的两个子类ImageLoaderMachOCompressed、ImageLoaderMachOClassic负责把 Mach-O 实例化为 Image.但要用哪个子类来进行实例化是通过sniffLoadCommands来判断Mach-O 文件的 LINKEDIT 是classic或者compressed.0x04 加载动态库
遍历
DYLD_INSERT_LIBRARIES环境变量,然后调用loadInsertedDylib加载.
0x05 链接主程序
调用 link链接主程序,内核调用的是
ImageLoader::link 函数,主要是做了加载动态库、rebase、binding 等操作,代码比较多,我就不贴了,在附件的源码上有我写的详细注释.
0x06 链接动态库
这一步将前面调用 addImage()函数保存在sAllImages 中的动态库列表循环调用 link进行链接,然后调registerInterposing注册符号替换.
注意这里的 i+1, 因为sAllImages中第一项是主程序,所以取 i+1项.
0x07 初始化主程序
这一步由initializeMainExecutable()完成。dyld会优先初始化动态库，然后初始化主程序。该函数首先执行runInitializers()，内部再依次调用processInitializers()、recursiveInitialization(),在recursiveInitialization()函数里找到了 notifySingle();
context.notifySingle(dyld_image_state_dependents_initialized, this, &timingInfo);
再往下找到sNotifyObjCInit,再去找它的赋值找到registerObjCNotifiers,从函数注释来看是用objc runtime来调的,这块之后再看.在查阅一些资料之后得知,这里的sNotifyObjCInit就是调用 objc 中的 load_images,它调用所有的 load 方法,在调用完 load 方法以后调用了
bool hasInitializers = this->doInitialization(context);
doInitialization又调用了doModInitFunctions, 也就是constuctor方法,关于这个方法可以参看链接.
0x08 返回入口地址
这里调用主程序的
getEntryFromLC_MAIN,就是从``Load Command中读取LC_MAIN入口,如果没有,就读取LC_UNIXTHREAD,然后跳到入口处执行,就回到了我们熟悉的main.m`.
说明
1.dyld 源码: https://opensource.apple.com/tarballs/dyld/
2.本文分析所用版本: dyld-635.2
3.带注释 dyld源码地址: Github
参考
1.iOS 应用逆向与安全
2.https://www.dllhook.com/post/238.html#toc_14
3.https://blog.sunnyxx.com/2014/08/30/objc-pre-main/
