dyld 源码学习

背景

众所周知一个 iOS App 的程序入口是main.m, 但系统是怎么找到main.m的估计不少人就有疑问了,本文将详细解释这个问题.

dyld

dyld(the dynamic link editor), 动态连接器,是专门用来加载动态库以及主程序的库. 当kernel作好程序的启动准备工做以后,系统的执行由内核态转换为用户态,由 dyld 首先开始工做,iOS 中用到的全部系统framework都是动态库,好比最经常使用的UIKit.framework,Foundation.framework, 而这些动态库是手机内全部App共享的,因此须要在咱们 App运行前加载进来. dyld 主要的工做有:

• 初始化 App 运行环境
• 连接依赖的动态库以及主程序
• rebase / binding
• 返回 main.m 的函数地址 接下来分析下dyld 的源码.

源码分析

在 demo 里加[NSObject init]的符号断点来看下:

能够看到入口函数事在 dyid_start方法里的 dyldbootstrap::start方法,接下来去源码里看看. 在 dyld 源码里找到 dyldStartup.s找到了 __dyld_start,这里只截取了arm架构的部分.

经过注释能够看到有调用 dyldbootstrap::start,那顺着调用再往下看. 在 dyldInitialization.cpp中找到了 start

• 首先经过slideOfMainExecutable拿到随机地址的偏移量
• 调用rebaseDyld重定位
• mach_init() mach消息初始化
• __guard_setup() 栈溢出保护 接下来调用了dyld::_main,将返回值传递给__dyld_start的调用main.m函数.
  

dyld::_main是dyld中的关键方法,代码也很是多,它的实现能够分为如下几步: (关键部分有注释)

• 设置运行环境
• 加载共享缓存
• 加载主程序
• 加载动态库
• 连接主程序
• 连接动态库
• 初始化主程序
• 返回入口地址

0x01 设置运行环境

0x02 加载共享缓存

checkSharedRegionDisable是检查共享缓存是否禁用,里面能够看到一行注释,iOS 必须开启共享缓存才能运行.

static void checkSharedRegionDisable(const dyld3::MachOLoaded* mainExecutableMH, uintptr_t mainExecutableSlide) {
	// iOS cannot run without shared region
}
复制代码

接下来调的mapSharedCache()就是加载共享缓存的逻辑,就不深刻了.

0x03 加载主程序

这一步将主程序 Mach-O 加载进内存,并实例化了一个 ImageLoader.先看下 instantiateFromLoadedImage的调用栈:

其中 ImageLoader是一个抽象类,它的两个子类 ImageLoaderMachOCompressed、 ImageLoaderMachOClassic负责把 Mach-O 实例化为 Image.但要用哪一个子类来进行实例化是经过 sniffLoadCommands来判断Mach-O 文件的 LINKEDIT 是classic或者compressed.

0x04 加载动态库

遍历 DYLD_INSERT_LIBRARIES环境变量,而后调用 loadInsertedDylib加载.

0x05 连接主程序

调用 link连接主程序,内核调用的是 ImageLoader::link 函数,主要是作了加载动态库、rebase、binding 等操做,代码比较多,我就不贴了,在附件的源码上有我写的详细注释.

0x06 连接动态库

这一步将前面调用 addImage()函数保存在sAllImages 中的动态库列表循环调用 link进行连接,而后调registerInterposing注册符号替换. 注意这里的 i+1, 由于sAllImages中第一项是主程序,因此取 i+1项.

0x07 初始化主程序

这一步由initializeMainExecutable()完成。dyld会优先初始化动态库，而后初始化主程序。该函数首先执行runInitializers()，内部再依次调用processInitializers()、recursiveInitialization(),在recursiveInitialization()函数里找到了 notifySingle();

context.notifySingle(dyld_image_state_dependents_initialized, this, &timingInfo);
复制代码

再往下找到sNotifyObjCInit,再去找它的赋值找到registerObjCNotifiers,从函数注释来看是用objc runtime来调的,这块以后再看.在查阅一些资料以后得知,这里的sNotifyObjCInit就是调用 objc 中的 load_images,它调用全部的 load 方法,在调用完 load 方法之后调用了

bool hasInitializers = this->doInitialization(context);
复制代码

doInitialization又调用了doModInitFunctions, 也就是constuctor方法,关于这个方法能够参看连接.

0x08 返回入口地址

这里调用主程序的 getEntryFromLC_MAIN,就是从``Load Command 中读取LC_MAIN 入口,若是没有,就读取LC_UNIXTHREAD ,而后跳到入口处执行,就回到了咱们熟悉的main.m`.

说明

1.dyld 源码: opensource.apple.com/tarballs/dy…
2.本文分析所用版本: dyld-635.2
3.带注释 dyld源码地址: Github

参考

1.iOS 应用逆向与安全
2.www.dllhook.com/post/238.ht…
3.blog.sunnyxx.com/2014/08/30/…