Anti-Anti dylib（反 反-dylib钩子（Anti-tweak））

飘云

警告：本文涉及的patch有风险，请三思而后行！！

版主提供了 anti dylib 的文章，https://www.chinapyg.com/thread-76158-1-1.html
原理很简单，看下面源代码即可~

用IDA 载入 /usr/lib/dyld 分析 -- 我的版本是iOS7.1.2
结合源代码观看 http://www.opensource.apple.com/source/dyld/dyld-353.2.1/src/dyld.cpp

下面是我拎出来的相关片段：

1. //
   
2. // Look for a special segment in the mach header.
   
3. // Its presences means that the binary wants to have DYLD ignore
   
4. // DYLD_ environment variables.
   
5. //
   
6. 
   
7. // 检测目标bin中是否存在 __RESTRICT 或 __restrict 节
   
8. static bool hasRestrictedSegment(const macho_header* mh)
   
9. {
   
10.         const uint32_t cmd_count = mh->ncmds;
    
11.         const struct load_command* const cmds = (struct load_command*)(((char*)mh)+sizeof(macho_header));
    
12.         const struct load_command* cmd = cmds;
    
13.         for (uint32_t i = 0; i < cmd_count; ++i) {
    
14.                 switch (cmd->cmd) {
    
15.                         case LC_SEGMENT_COMMAND:
    
16.                         {
    
17.                                 const struct macho_segment_command* seg = (struct macho_segment_command*)cmd;
    
18.                                 
    
19.                                 //dyld::log("seg name: %s\n", seg->segname);
    
20.                                 if (strcmp(seg->segname, "__RESTRICT") == 0) {
    
21.                                         const struct macho_section* const sectionsStart = (struct macho_section*)((char*)seg + sizeof(struct macho_segment_command));
    
22.                                         const struct macho_section* const sectionsEnd = &sectionsStart[seg->nsects];
    
23.                                         for (const struct macho_section* sect=sectionsStart; sect < sectionsEnd; ++sect) {
    
24.                                                 if (strcmp(sect->sectname, "__restrict") == 0)
    
25.                                                         return true;
    
26.                                         }
    
27.                                 }
    
28.                         }
    
29.                         break;
    
30.                 }
    
31.                 cmd = (const struct load_command*)(((char*)cmd)+cmd->cmdsize);
    
32.         }
    
33.                
    
34.         return false;
    
35. }
    
36. 
    
37. 
    
38. static bool processRestricted(const macho_header* mainExecutableMH)
    
39. {        
    
40. #if __MAC_OS_X_VERSION_MIN_REQUIRED
    
41.     // ask kernel if code signature of program makes it restricted
    
42.     uint32_t flags;
    
43.         if ( csops(0, CS_OPS_STATUS, &flags, sizeof(flags)) != -1 ) {
    
44.                 if ( flags & CS_ENFORCEMENT ) {
    
45.                         gLinkContext.codeSigningEnforced = true;
    
46.                 }
    
47.         }
    
48.         if (flags & CS_RESTRICT) {
    
49.                 sRestrictedReason = restrictedByEntitlements;
    
50.                 return true;
    
51.         }
    
52. #else
    
53.         gLinkContext.codeSigningEnforced = true;
    
54. #endif
    
55.         
    
56.         // all processes with setuid or setgid bit set are restricted
    
57.     if ( issetugid() ) {
    
58.                 sRestrictedReason = restrictedBySetGUid;
    
59.                 return true;
    
60.         }
    
61.                
    
62.         // <rdar://problem/13158444&13245742> Respect __RESTRICT,__restrict section for root processes
    
63.         if ( hasRestrictedSegment(mainExecutableMH) ) {
    
64.                 // existence of __RESTRICT/__restrict section make process restricted
    
65.                 sRestrictedReason = restrictedBySegment;
    
66.                 return true;
    
67.         }
    
68.     return false;
    
69. }

复制代码

IDA逆向 ：
dyld::_main(macho_header const*, unsigned long, int, char const**, char const**, char const**, unsigned long *)


patch方案：
1.不要改变原有规则，即对__RESTRICT 区段的检测还是保留，我们可以在 macho 文件里面插入特殊标记，比如（P.Y.G），然后进行检测，如果找到 特殊标记，则进行patch，否则走原始流程，这样在开发tweak的时候，按照我们预先定义的特殊标记即可成功挂载！
2.使用KMP定位到patch点即可！
3.game over！！

GGLHY

牛犇
前排学习下

tree_fly

牛BEN，好思维决定一切，学习。。。

l0v3cr4ck

{:soso_e154:}啥时候才能跟上飘大的步伐……不敢想{:soso_e127:}

sndncel

虽然看不太懂，不过还是要顶顶呀。哈哈。

liuiuigexcgund

学习 搜藏了  

wingbywings

期待出一个完整的解决方案~

SnowNightLegend

收藏了收藏了收藏了