macOS Universal binaries & Mach-O Format
AWS Hacking'i öğrenin ve uygulayın: HackTricks Eğitim AWS Kırmızı Takım Uzmanı (ARTE)
GCP Hacking'i öğrenin ve uygulayın:
HackTricks Eğitim GCP Kırmızı Takım Uzmanı (GRTE)
Temel Bilgiler
Mac OS ikili dosyaları genellikle evrensel ikili dosyalar olarak derlenir. Bir evrensel ikili dosya, aynı dosyada birden fazla mimariyi destekleyebilir.
Bu ikili dosyalar genellikle Mach-O yapısını takip eder, bu yapının temel olarak şunlardan oluşur:
Başlık
Yükleme Komutları
Veri
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F2815339644-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FKXYG6TIGtXXE4WZnfup9%252Fuploads%252Fgit-blob-82966ab5b38151fe2dc0fe3dabf4912d1df2a87a%252Fimage%2520%28470%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=99c59d82&sv=1)
Fat Başlık
Dosyayı şu komutla arayın: mdfind fat.h | grep -i mach-o | grep -E "fat.h$"
Başlık, sihirli baytları ve dosyanın içerdiği mimari sayısını (nfat_arch
) takip eden her mimarinin bir fat_arch
yapısına sahip olduğu sayıyı içerir.
Şununla kontrol edin:
veya Mach-O View aracını kullanarak:
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F2815339644-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FKXYG6TIGtXXE4WZnfup9%252Fuploads%252Fgit-blob-4642e6584e039d6779efab2800251a06510781e8%252Fimage%2520%281094%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=f5b6cd41&sv=1)
Genellikle 2 mimari için derlenen bir evrensel ikili dosya, yalnızca 1 mimari için derlenen bir dosyanın boyutunu iki katına çıkarır.
Mach-O Başlık
Başlık, dosya hakkında temel bilgiler içerir, örneğin dosyayı Mach-O dosyası olarak tanımlamak için sihirli baytları ve hedef mimari hakkında bilgiler içerir. Şurada bulabilirsiniz: mdfind loader.h | grep -i mach-o | grep -E "loader.h$"
Mach-O Dosya Türleri
Farklı dosya türleri bulunmaktadır, bunlar örneğin burada tanımlanmıştır. En önemlileri şunlardır:
MH_OBJECT
: Taşınabilir nesne dosyası (derlemenin ara ürünleri, henüz yürütülebilir değil).MH_EXECUTE
: Yürütülebilir dosyalar.MH_FVMLIB
: Sabit VM kütüphane dosyası.MH_CORE
: Kod DökümleriMH_PRELOAD
: Önceden yüklenmiş yürütülebilir dosya (artık XNU'da desteklenmiyor)MH_DYLIB
: Dinamik KütüphanelerMH_DYLINKER
: Dinamik BağlayıcıMH_BUNDLE
: "Eklenti dosyaları". GCC'de -bundle kullanılarak oluşturulur veNSBundle
veyadlopen
tarafından açıkça yüklenir.MH_DYSM
: Eş.dSym
dosyası (hata ayıklama sembolleri içeren dosya).MH_KEXT_BUNDLE
: Çekirdek Uzantıları.
Veya Mach-O View kullanarak:
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F2815339644-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FKXYG6TIGtXXE4WZnfup9%252Fuploads%252Fgit-blob-955989eef1c9adb340f4afea304accd082857c33%252Fimage%2520%281133%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=c6e12923&sv=1)
Mach-O Bayrakları
Kaynak kod ayrıca kütüphaneleri yükleme için kullanışlı birkaç bayrak tanımlar:
MH_NOUNDEFS
: Tanımsız referans yok (tam bağlantılı)MH_DYLDLINK
: Dyld bağlantısıMH_PREBOUND
: Dinamik referanslar önceden bağlanmış.MH_SPLIT_SEGS
: Dosya r/o ve r/w segmentlere bölünmüştür.MH_WEAK_DEFINES
: Binanın zayıf tanımlı sembolleri vardırMH_BINDS_TO_WEAK
: Bina zayıf sembolleri kullanırMH_ALLOW_STACK_EXECUTION
: Yığını yürütülebilir yapMH_NO_REEXPORTED_DYLIBS
: Kütüphane LC_REEXPORT komutları içermezMH_PIE
: Konum Bağımsız YürütülebilirMH_HAS_TLV_DESCRIPTORS
: İplik yerel değişkenlere sahip bir bölüm varMH_NO_HEAP_EXECUTION
: Yığın/veri sayfaları için yürütme yokMH_HAS_OBJC
: Bina Objective-C bölümlerine sahipMH_SIM_SUPPORT
: Simülatör desteğiMH_DYLIB_IN_CACHE
: Paylaşılan kütüphane önbelleğindeki dylib/framework'lerde kullanılır.
Mach-O Yükleme Komutları
Dosyanın bellekteki düzeni burada belirtilir, sembol tablosunun konumu, yürütme başlangıcında ana iş parçacığının bağlamı ve gerekli paylaşılan kütüphaneler ayrıntılandırılır. Talimatlar, ikincil yükleyici (dyld) üzerine, binanın belleğe yüklenme süreci hakkında bilgi sağlar.
Kullanılan yapı load_command yapısıdır, belirtilen loader.h
içinde tanımlanmıştır:
Sistem farklı şekillerde işlediği yaklaşık 50 farklı yükleme komutu türü bulunmaktadır. En yaygın olanlar şunlardır: LC_SEGMENT_64
, LC_LOAD_DYLINKER
, LC_MAIN
, LC_LOAD_DYLIB
ve LC_CODE_SIGNATURE
.
LC_SEGMENT/LC_SEGMENT_64
Temelde, bu tür Yükleme Komutları, ikili dosya yürütüldüğünde __TEXT (yürütülebilir kod) ve __DATA (işlem için veri) segmentlerini yüklemenin Veri bölümünde belirtilen ofsetlere göre nasıl yapılacağını tanımlar.
Bu komutlar, bir işlem yürütüldüğünde sanal bellek alanına eşlenen segmentleri tanımlar.
Farklı türlerde segmentler bulunmaktadır, örneğin bir programın yürütülebilir kodunu içeren __TEXT segmenti ve işlem tarafından kullanılan verileri içeren __DATA segmenti gibi. Bu segmentler, Mach-O dosyasının veri bölümünde bulunmaktadır.
Her segment, daha fazla bölünebilen birden fazla bölüme ayrılabilir. Yükleme komutu yapısı, ilgili segment içindeki bu bölümlerle ilgili bilgileri içerir.
Başlıkta önce segment başlığını bulursunuz:
Segment başlığının bir örneği:
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F2815339644-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FKXYG6TIGtXXE4WZnfup9%252Fuploads%252Fgit-blob-31be65974335f158eff11db40d6e8919e8c6284f%252Fimage%2520%281126%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=ef52f26f&sv=1)
Bu başlık, ardından görünen başlıkların sayısını tanımlar:
Örnek bölüm başlığı:
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F2815339644-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FKXYG6TIGtXXE4WZnfup9%252Fuploads%252Fgit-blob-345e6bee98a3a612946950d81de618f091594ea3%252Fimage%2520%281108%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=27298e66&sv=1)
Eğer bölüm ofseti (0x37DC) + mimarinin başladığı ofset eklenirse, bu durumda 0x18000
--> 0x37DC + 0x18000 = 0x1B7DC
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F2815339644-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FKXYG6TIGtXXE4WZnfup9%252Fuploads%252Fgit-blob-6874f9c8693e06b38da477e9a84ffe0d920b4b09%252Fimage%2520%28701%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=641d0bf&sv=1)
Ayrıca komut satırından başlık bilgilerini almak da mümkündür:
Bu komut tarafından yüklenen yaygın bölümler:
__PAGEZERO
: Çekirdeğe adres sıfırını haritalamayı emreder, böylece bu sayfadan okunamaz, yazılamaz veya yürütülemez. Yapıdaki maxprot ve minprot değişkenleri sıfıra ayarlanır, bu da bu sayfada okuma-yazma-yürütme haklarının olmadığını gösterir.Bu tahsis, NULL işaretçi sıfırlama açıklarını hafifletmek için önemlidir. Bu, XNU'nun yalnızca ilk bellek sayfasının (yalnızca ilk) erişilemez olduğunu sağlayan sert bir sayfa sıfırını zorunlu kılmasından kaynaklanmaktadır (yalnızca i386'da). Bir ikili dosya, ilk 4k'yi kapsayan küçük bir __PAGEZERO oluşturarak ve geri kalan 32 bit belleğin hem kullanıcı hem de çekirdek modunda erişilebilir olmasını sağlayarak bu gereksinimleri karşılayabilir.
__TEXT
: Okunabilir ve yürütülebilir izinlere sahip yürütülebilir kod içerir (yazılabilir değil). Bu segmentin yaygın bölümleri:__text
: Derlenmiş ikili kod__const
: Sabit veri (yalnızca okunabilir)__[c/u/os_log]string
: C, Unicode veya işletim sistemi günlüğü dizesi sabitleri__stubs
ve__stubs_helper
: Dinamik kitaplık yükleme sürecinde rol oynar__unwind_info
: Yığın açma verileri.Tüm bu içeriğin imzalandığını ancak aynı zamanda yürütülebilir olarak işaretlendiğini unutmayın (bu ayrıcalığa ihtiyaç duymayan bölümlerin söz konusu ayrıcalığı kullanarak istismar seçenekleri oluşturulması).
__DATA
: Okunabilir ve yazılabilir verileri içerir (yürütülemez).__got:
Global Offset Table__nl_symbol_ptr
: Tembel olmayan (yükleme sırasında bağlanan) sembol işaretçisi__la_symbol_ptr
: Tembel (kullanımda bağlanan) sembol işaretçisi__const
: Gerçekte yalnızca okunabilir veri olmalıdır (değil)__cfstring
: CoreFoundation dizeleri__data
: Başlatılmış global değişkenler__bss
: Başlatılmamış statik değişkenler__objc_*
(__objc_classlist, __objc_protolist, vb.): Objective-C çalışma zamanı tarafından kullanılan bilgiler__DATA_CONST
: __DATA.__const sabit olması garanti edilmez (yazma izinleri), diğer işaretçiler ve GOT de değil. Bu bölüm,__const
, bazı başlatıcılar ve GOT tablosunu (çözümlendikten sonra)mprotect
kullanarak yalnızca okunabilir yapar.__LINKEDIT
: Bağlayıcı için (dyld gibi) sembol, dize ve yer değiştirme tablosu girişleri gibi bilgileri içerir.__TEXT
veya__DATA
içinde olmayan içerikler için genel bir konteynerdir ve içeriği diğer yükleme komutlarında açıklanmıştır.dyld bilgileri: Yeniden konumlandırma, Tembel olmayan/tembel/zayıf bağlama işlemleri ve ihraç bilgileri
Fonksiyon başlangıçları: Fonksiyonların başlangıç adresleri tablosu
Kod İçindeki Veri: __text içindeki veri adaları
Sembol Tablosu: İkili dosyadaki semboller
Dolaylı Sembol Tablosu: İşaretçi/stub sembolleri
Dize Tablosu
Kod İmzası
__OBJC
: Objective-C çalışma zamanı tarafından kullanılan bilgileri içerir. Bu bilgiler, __DATA segmentinde de bulunabilir, çeşitli __objc_* bölümlerinde.__RESTRICT
: İçeriği olmayan bir bölüm olan__restrict
adında tek bir bölüm içerir (ayrıca boştur) ve ikili dosya çalıştırıldığında DYLD çevresel değişkenlerini yoksayar.
Kodda görülebileceği gibi, bölümler ayrıca bayrakları destekler (ancak çok fazla kullanılmazlar):
SG_HIGHVM
: Yalnızca çekirdek (kullanılmaz)SG_FVMLIB
: KullanılmazSG_NORELOC
: Bölümde yeniden konumlandırma yokSG_PROTECTED_VERSION_1
: Şifreleme. Örneğin Finder tarafından metni şifrelemek için__TEXT
segmentini kullanır.
LC_UNIXTHREAD/LC_MAIN
LC_UNIXTHREAD/LC_MAIN
LC_MAIN
, entryoff özniteliğindeki giriş noktasını içerir. Yükleme zamanında, dyld bu değeri (bellekteki) ikili dosyanın tabanına ekler, ardından bu talimata atlayarak ikili dosyanın kodunun yürütmesini başlatır.
LC_UNIXTHREAD
, ana iş parçacığını başlatırken kayıtların sahip olması gereken değerleri içerir. Bu zaten kullanımdan kaldırılmış olsa da dyld
hala bunu kullanır. Bu ile ayarlanan kayıtların değerlerini görmek mümkündür:
LC_CODE_SIGNATURE
LC_CODE_SIGNATURE
Macho-O dosyasının kod imzası hakkında bilgi içerir. Yalnızca imza bloğuna işaret eden bir ofset içerir. Genellikle dosyanın sonunda bulunur. Ancak, bu bölüm hakkında bazı bilgileri bu blog yazısında ve bu gists bulabilirsiniz.
LC_ENCRYPTION_INFO[_64]
LC_ENCRYPTION_INFO[_64]
Binary şifrelemesini destekler. Ancak, tabii ki, bir saldırgan süreci ele geçirmeyi başarırsa, belleği şifrelenmemiş olarak dökme yeteneğine sahip olacaktır.
LC_LOAD_DYLINKER
LC_LOAD_DYLINKER
Paylaşılan kütüphaneleri işlem adres alanına eşleyen dinamik bağlayıcı yürütülebilir dosyanın yolunu içerir. Değeri her zaman /usr/lib/dyld
olarak ayarlanmıştır. macOS'ta dylib eşlemesi çekirdek modunda değil, kullanıcı modunda gerçekleşir.
LC_IDENT
LC_IDENT
Eskidir ancak panik durumunda dökümler oluşturacak şekilde yapılandırıldığında, bir Mach-O çekirdek dökümü oluşturulur ve çekirdek sürümü LC_IDENT
komutunda ayarlanır.
LC_UUID
LC_UUID
Rastgele UUID. Doğrudan herhangi bir şey için faydalı değildir ancak XNU, işlem bilgilerinin geri kalanıyla birlikte önbelleğe alır. Çökme raporlarında kullanılabilir.
LC_DYLD_ENVIRONMENT
LC_DYLD_ENVIRONMENT
İşlem yürütülmeden önce dyld'ye çevresel değişkenleri belirtmeye izin verir. Bu, işlem içinde keyfi kodları yürütmeye izin verebileceğinden oldukça tehlikeli olabilir, bu yük komutu yalnızca #define SUPPORT_LC_DYLD_ENVIRONMENT
ile derlenmiş dyld'de kullanılır ve yük yollarını belirleyen DYLD_..._PATH
biçimindeki değişkenlere sadece işleme izin verir.
LC_LOAD_DYLIB
LC_LOAD_DYLIB
Bu yükleme komutu, yükleme ve bağlama komutunu (dyld) belirten dinamik bir kütüphane bağımlılığını açıklar. Mach-O ikilisinin gerektirdiği her kütüphane için bir LC_LOAD_DYLIB
yükleme komutu bulunmaktadır.
Bu yükleme komutu, gerçek bağımlı dinamik kütüphaneyi tanımlayan struct dylib içeren bir dylib_command türünde bir yapıdır:
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F2815339644-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FKXYG6TIGtXXE4WZnfup9%252Fuploads%252Fgit-blob-50dda35adcced1775eb1fc53d0e8dfcb74c378cc%252Fimage%2520%28486%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=eaeb0538&sv=1)
Bu bilgilere ayrıca şu komut satırı arayüzüyle de ulaşabilirsiniz:
Objective-C Ortak Bölümler
__TEXT
segmentinde (r-x):
__objc_classname
: Sınıf isimleri (diziler)__objc_methname
: Metod isimleri (diziler)__objc_methtype
: Metod tipleri (diziler)
__DATA
segmentinde (rw-):
__objc_classlist
: Tüm Objective-C sınıflarına işaretçiler__objc_nlclslist
: Tembel Olmayan Objective-C sınıflarına işaretçiler__objc_catlist
: Kategorilere işaretçi__objc_nlcatlist
: Tembel Olmayan Kategorilere işaretçi__objc_protolist
: Protokoller listesi__objc_const
: Sabit veri__objc_imageinfo
,__objc_selrefs
,objc__protorefs
...
Swift
_swift_typeref
,_swift3_capture
,_swift3_assocty
,_swift3_types, _swift3_proto
,_swift3_fieldmd
,_swift3_builtin
,_swift3_reflstr
Last updated