macOS Universal binaries & Mach-O Format
Leer & oefen AWS-hacking:HackTricks Opleiding AWS Red Team Expert (ARTE)
Leer & oefen GCP-hacking:
HackTricks Opleiding GCP Red Team Expert (GRTE)
Basiese Inligting
Mac OS-bineêre lêers is gewoonlik saamgestel as universele bineêre lêers. 'n Universele bineêre lêer kan verskeie argitekture in dieselfde lêer ondersteun.
Hierdie bineêre lêers volg die Mach-O-struktuur wat basies bestaan uit:
Kop
Laai-opdragte
Data
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F843477771-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FC6PyZhjUxJWWaN3uLo1y%252Fuploads%252Fgit-blob-82966ab5b38151fe2dc0fe3dabf4912d1df2a87a%252Fimage%2520%28470%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=283c6f9d&sv=1)
Vet Kop
Soek na die lêer met: mdfind fat.h | grep -i mach-o | grep -E "fat.h$"
Die kop het die magic-byte gevolg deur die aantal argitekture wat die lêer bevat (nfat_arch
) en elke argitektuur sal 'n fat_arch
struktuur hê.
Kontroleer dit met:
of deur die Mach-O View gereedskap te gebruik:
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F843477771-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FC6PyZhjUxJWWaN3uLo1y%252Fuploads%252Fgit-blob-4642e6584e039d6779efab2800251a06510781e8%252Fimage%2520%281094%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=67f4f124&sv=1)
Soos jy dalk dink, verdubbel 'n universele bineêre wat vir 2 argitekture saamgestel is die grootte van een wat net vir 1 argitektuur saamgestel is.
Mach-O Kop
Die kop bevat basiese inligting oor die lêer, soos die magiese byte om dit as 'n Mach-O-lêer te identifiseer en inligting oor die teikenargitektuur. Jy kan dit vind in: mdfind loader.h | grep -i mach-o | grep -E "loader.h$"
Mach-O Lêertipes
Daar is verskillende lêertipes, jy kan hulle gedefinieer vind in die bronkode byvoorbeeld hier. Die belangrikste is:
MH_OBJECT
: Herplaasbare objeklêer (tussenproduk van samestelling, nog nie uitvoerbare lêers nie).MH_EXECUTE
: Uitvoerbare lêers.MH_FVMLIB
: Vasgehegte VM-biblioteeklêer.MH_CORE
: Kode-afsettingsMH_PRELOAD
: Voorafgelaai uitvoerbare lêer (nie meer ondersteun in XNU nie)MH_DYLIB
: Dinamiese BibliotekeMH_DYLINKER
: Dinamiese SkakelaarMH_BUNDLE
: "Inprop-lêers". Opgestel deur -bundle in gcc en eksplisiet gelaai deurNSBundle
ofdlopen
.MH_DYSM
: Metgesel.dSym
lêer (lêer met simbole vir foutopsporing).MH_KEXT_BUNDLE
: Kernel-uitbreidings.
Of deur Mach-O View te gebruik:
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F843477771-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FC6PyZhjUxJWWaN3uLo1y%252Fuploads%252Fgit-blob-955989eef1c9adb340f4afea304accd082857c33%252Fimage%2520%281133%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=9317b58e&sv=1)
Mach-O Vlae
Die bronkode definieer ook verskeie vlae wat nuttig is vir die laai van biblioteke:
MH_NOUNDEFS
: Geen ongedefinieerde verwysings (volledig gekoppel)MH_DYLDLINK
: Dyld koppelingMH_PREBOUND
: Dinamiese verwysings vooraf gebind.MH_SPLIT_SEGS
: Lêer verdeel r/o en r/w segmente.MH_WEAK_DEFINES
: Binêre het swak gedefinieerde simboleMH_BINDS_TO_WEAK
: Binêre gebruik swak simboleMH_ALLOW_STACK_EXECUTION
: Maak die stapel uitvoerbaarMH_NO_REEXPORTED_DYLIBS
: Biblioteek nie LC_REEXPORT-opdragte nieMH_PIE
: Posisioneel Onafhanklike Uitvoerbare lêerMH_HAS_TLV_DESCRIPTORS
: Daar is 'n afdeling met draadlokale veranderlikesMH_NO_HEAP_EXECUTION
: Geen uitvoering vir heap/data-bladsyeMH_HAS_OBJC
: Binêre het oBject-C afdelingsMH_SIM_SUPPORT
: Simulator-ondersteuningMH_DYLIB_IN_CACHE
: Gebruik op dylibs/frameworks in gedeelde biblioteekkas.
Mach-O Laai-opdragte
Die lêer se uitleg in geheue word hier gespesifiseer, met inligting oor die simbooltabel se ligging, die konteks van die hoofdraad by uitvoerbegin, en die vereiste gedeelde biblioteke. Instruksies word aan die dinamiese laaier (dyld) verskaf oor die binêre se laaiproses in geheue.
Dit maak gebruik van die load_command struktuur, gedefinieer in die genoemde loader.h
:
Daar is ongeveer 50 verskillende tipes laai-opdragte wat die stelsel anders hanteer. Die mees algemene is: LC_SEGMENT_64
, LC_LOAD_DYLINKER
, LC_MAIN
, LC_LOAD_DYLIB
, en LC_CODE_SIGNATURE
.
LC_SEGMENT/LC_SEGMENT_64
Basies definieer hierdie tipe Laai-opdrag hoe om die __TEXT (uitvoerbare kode) en __DATA (data vir die proses) segmente te laai volgens die offsets aangedui in die Data-seksie wanneer die binêre lêer uitgevoer word.
Hierdie opdragte definieer segmente wat in die virtuele geheue-ruimte van 'n proses ingevoeg word wanneer dit uitgevoer word.
Daar is verskillende tipes segmente, soos die __TEXT segment, wat die uitvoerbare kode van 'n program bevat, en die __DATA segment, wat data bevat wat deur die proses gebruik word. Hierdie segmente is geleë in die data-seksie van die Mach-O lêer.
Elke segment kan verder verdeel word in verskeie seksies. Die laai-opdragstruktuur bevat inligting oor hierdie seksies binne die betrokke segment.
In die kop vind jy die segmentkop:
Voorbeeld van segmentkop:
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F843477771-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FC6PyZhjUxJWWaN3uLo1y%252Fuploads%252Fgit-blob-31be65974335f158eff11db40d6e8919e8c6284f%252Fimage%2520%281126%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=5788dfe2&sv=1)
Hierdie kop definieer die aantal seksies waarvan die koppe daarna verskyn:
Voorbeeld van seksie-kop:
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F843477771-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FC6PyZhjUxJWWaN3uLo1y%252Fuploads%252Fgit-blob-345e6bee98a3a612946950d81de618f091594ea3%252Fimage%2520%281108%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=9c9a517&sv=1)
As jy die seksie-offset (0x37DC) + die offset waar die arg begin, in hierdie geval 0x18000
byvoeg --> 0x37DC + 0x18000 = 0x1B7DC
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F843477771-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FC6PyZhjUxJWWaN3uLo1y%252Fuploads%252Fgit-blob-6874f9c8693e06b38da477e9a84ffe0d920b4b09%252Fimage%2520%28701%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=383494e0&sv=1)
Dit is ook moontlik om koppe-inligting van die opdraglyn te kry met:
Gemeenskaplike segmente wat deur hierdie cmd gelaai word:
__PAGEZERO
: Dit instrueer die kernel om die adres nul te kaart sodat dit nie gelees, geskryf of uitgevoer kan word nie. Die maxprot en minprot veranderlikes in die struktuur word na nul ingestel om aan te dui dat daar geen lees-skuif-uitvoer regte op hierdie bladsy is nie.Hierdie toewysing is belangrik om NULL-aanwyservulnerabiliteite te verminder. Dit is omdat XNU 'n harde bladsy nul afdwing wat verseker dat die eerste bladsy (slegs die eerste) van geheue onbereikbaar is (behalwe in i386). 'n Binêre kan aan hierdie vereistes voldoen deur 'n klein __PAGEZERO (met die
-pagezero_size
) te skep om die eerste 4k te dek en die res van die 32-bis geheue toeganklik te hê in beide gebruiker- en kernelmodus.__TEXT
: Bevat uitvoerbare kode met lees en uitvoer regte (nie skryfbare). Gewone afdelings van hierdie segment:__text
: Opgestelde binêre kode__const
: Konstante data (slegs leesbaar)__[c/u/os_log]string
: C, Unicode of os-logstring konstantes__stubs
en__stubs_helper
: Betrokke tydens die dinamiese biblioteeklaaiproses__unwind_info
: Stok ontwar data.Let daarop dat al hierdie inhoud onderteken is maar ook as uitvoerbaar gemerk is (skep meer opsies vir uitbuiting van afdelings wat nie noodwendig hierdie voorreg nodig het nie, soos string-toegewyde afdelings).
__DATA
: Bevat data wat leesbaar en skryfbaar is (nie uitvoerbaar).__got:
Globale Verskuiwingstabel__nl_symbol_ptr
: Nie lui (bind by laai) simboolaanduider__la_symbol_ptr
: Lui (bind by gebruik) simboolaanduider__const
: Behoort lees-slegs data te wees (nie regtig)__cfstring
: CoreFoundation strings__data
: Globale veranderlikes (wat geïnisialiseer is)__bss
: Statiese veranderlikes (wat nie geïnisialiseer is nie)__objc_*
(__objc_classlist, __objc_protolist, ens.): Inligting wat deur die Objective-C-uitvoertyd gebruik word__DATA_CONST
: __DATA.__const is nie gewaarborg om konstant te wees (skryfregte nie), en ook nie ander aanwysers en die GOT nie. Hierdie afdeling maak__const
, sommige inisialiseerders en die GOT-tabel (eenmaal opgelos) leesbaar slegs deurmprotect
te gebruik.__LINKEDIT
: Bevat inligting vir die koppelaar (dyld) soos simbool-, string- en herlokasie-tabelinskrywings. Dit is 'n generiese houer vir inhoud wat nie in__TEXT
of__DATA
is nie en sy inhoud word in ander laaibefehle beskryf.dyld-inligting: Herbasis, Nie-luie/lui/swak bindopkode en uitvoer inligting
Funksies begin: Tabel van beginadresse van funksies
Data In Kode: Data-eilande in __text
Simbooltabel: Simbole in binêr
Indirekte Simbooltabel: Aanduider/stub simbole
Stringtabel
Kodehandtekening
__OBJC
: Bevat inligting wat deur die Objective-C-uitvoertyd gebruik word. Alhoewel hierdie inligting ook in die __DATA-segment gevind kan word, binne verskeie in __objc_* afdelings.__RESTRICT
: 'n Segment sonder inhoud met 'n enkele afdeling genaamd__restrict
(ook leeg) wat verseker dat wanneer die binêre lopende is, dit DYLD-omgewingsveranderlikes ignoreer.
Soos in die kode gesien kon word, ondersteun segmente ook vlae (al word hulle nie baie gebruik nie):
SG_HIGHVM
: Slegs kern (nie gebruik nie)SG_FVMLIB
: Nie gebruik nieSG_NORELOC
: Segment het geen herlokasieSG_PROTECTED_VERSION_1
: Versleuteling. Gebruik byvoorbeeld deur Finder om teks in__TEXT
-segment te versleutel.
LC_UNIXTHREAD/LC_MAIN
LC_UNIXTHREAD/LC_MAIN
LC_MAIN
bevat die ingangspunt in die entryoff-eienskap. Met laai-tyd voeg dyld eenvoudig hierdie waarde by die (in-geheue) basis van die binêre, spring dan na hierdie instruksie om die uitvoering van die binêre se kode te begin.
LC_UNIXTHREAD
bevat die waardes wat die register moet hê wanneer die hoofdraad begin. Dit is reeds verouderd maar dyld
gebruik dit nog steeds. Dit is moontlik om die waardes van die register wat deur hierdie ingestel is, te sien met:
LC_CODE_SIGNATURE
LC_CODE_SIGNATURE
Bevat inligting oor die kodesignatuur van die Macho-O-lêer. Dit bevat slegs 'n offset wat na die handtekeningblob wys. Dit is tipies aan die einde van die lêer. Jy kan egter inligting oor hierdie afdeling vind in hierdie blogpos en hierdie gists.
LC_ENCRYPTION_INFO[_64]
LC_ENCRYPTION_INFO[_64]
Ondersteuning vir binêre versleuteling. Indien 'n aanvaller egter die proses kan kompromiteer, sal hy die geheue onversleuteld kan aflaai.
LC_LOAD_DYLINKER
LC_LOAD_DYLINKER
Bevat die pad na die dinamiese skakeluitvoerbare lêer wat gedeelde biblioteke in die proses-adresruimte in kaart bring. Die waarde is altyd ingestel op /usr/lib/dyld
. Dit is belangrik om daarop te let dat in macOS, dylib-afbeelding in gebruikermodus plaasvind, nie in kernelmodus nie.
LC_IDENT
LC_IDENT
Verouderd, maar wanneer dit ingestel is om damps by paniek te genereer, word 'n Mach-O-kern-damp geskep en die kernweergawe word in die LC_IDENT
-bevel ingestel.
LC_UUID
LC_UUID
Willekeurige UUID. Dit is nie direk nuttig vir enigiets nie, maar XNU stoor dit saam met die res van die prosesinligting. Dit kan in botsingsverslae gebruik word.
LC_DYLD_ENVIRONMENT
LC_DYLD_ENVIRONMENT
Laat toe om omgewingsveranderlikes aan die dyld aan te dui voordat die proses uitgevoer word. Dit kan baie gevaarlik wees omdat dit kan toelaat om arbitrêre kode binne die proses uit te voer, dus word hierdie laai-bevel slegs gebruik in dyld-geboue met #define SUPPORT_LC_DYLD_ENVIRONMENT
en beperk verdere verwerking slegs tot veranderlikes van die vorm DYLD_..._PATH
wat laaipaaie spesifiseer.
LC_LOAD_DYLIB
LC_LOAD_DYLIB
Hierdie laaibevolking beskryf 'n dinamiese biblioteekafhanklikheid wat die laaier (dyld) instrueer om genoemde biblioteek te laai en te skakel. Daar is 'n LC_LOAD_DYLIB
-laaibevolking vir elke biblioteek wat die Mach-O-binêre lêer benodig.
Hierdie laaibevolking is 'n struktuur van die tipe
dylib_command
(wat 'n struktuur dylib bevat wat die werklike afhanklike dinamiese biblioteek beskryf):
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F843477771-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FC6PyZhjUxJWWaN3uLo1y%252Fuploads%252Fgit-blob-50dda35adcced1775eb1fc53d0e8dfcb74c378cc%252Fimage%2520%28486%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=1a16211f&sv=1)
Jy kan ook hierdie inligting kry van die opdraggelynpunt met:
Some potensiële kwaadwillige biblioteke is:
DiskArbitration: Monitering van USB-aandrywings
AVFoundation: Vang klank en video
CoreWLAN: Wifi-skanderings.
'n Mach-O binêre lêer kan een of meer konstrukteurs bevat, wat uitgevoer sal word voor die adres gespesifiseer in LC_MAIN. Die offsette van enige konstrukteurs word gehou in die __mod_init_func afdeling van die __DATA_CONST segment.
Mach-O Data
In die kern van die lêer lê die data-gebied, wat bestaan uit verskeie segmente soos gedefinieer in die laai-opdragte-gebied. 'n Verskeidenheid data-afdelings kan binne elke segment gehuisves word, met elke afdeling wat kode of data bevat wat spesifiek is vir 'n tipe.
Die data is basies die gedeelte wat al die inligting bevat wat deur die laai-opdragte LC_SEGMENTS_64 gelaai word.
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F843477771-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FC6PyZhjUxJWWaN3uLo1y%252Fuploads%252Fgit-blob-d417c71bdb7ae7c103ed1040488950039aa93799%252Fimage%2520%28507%29%2520%283%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=faca0a8e&sv=1)
Dit sluit in:
Funksie-tabel: Wat inligting oor die programfunksies bevat.
Simbooltabel: Wat inligting oor die eksterne funksie bevat wat deur die binêre gebruik word
Dit kan ook interne funksie, veranderlike name en meer bevat.
Om dit te kontroleer, kan jy die Mach-O View gereedskap gebruik:
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F843477771-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FC6PyZhjUxJWWaN3uLo1y%252Fuploads%252Fgit-blob-e3b3dbe9f2830202b64f16caa9c24f7ee5062df9%252Fimage%2520%281120%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=36d15fdd&sv=1)
Of vanaf die opdraglyn:
Objective-C Algemene Afdelings
In die __TEXT
segment (r-x):
__objc_classname
: Klasname (strings)__objc_methname
: Metode name (strings)__objc_methtype
: Metode tipes (strings)
In die __DATA
segment (rw-):
__objc_classlist
: Aanwysers na alle Objective-C klasse__objc_nlclslist
: Aanwysers na Nie-Luie Objective-C klasse__objc_catlist
: Aanwyser na Kategorieë__objc_nlcatlist
: Aanwyser na Nie-Luie Kategorieë__objc_protolist
: Protokolle lys__objc_const
: Konstante data__objc_imageinfo
,__objc_selrefs
,objc__protorefs
...
Swift
_swift_typeref
,_swift3_capture
,_swift3_assocty
,_swift3_types, _swift3_proto
,_swift3_fieldmd
,_swift3_builtin
,_swift3_reflstr
Last updated