MacOS逆向常见技巧，从基础到高级
，macOS逆向分析涵盖从基础到高级的多层技术，基础阶段需掌握工具链使用，如Hopper Disassembler、IDA Pro进行静态分析，以及LLDB、Xcode Debugger动态调试；熟悉Objective-C/Swift运行时特性与OC方法hook技巧（如Method Swizzling），中级阶段涉及Mach-O文件结构解析、符号恢复、反反调试绕过及非公开Framework逆向，高级技巧包括内核扩展（kext）逆向、系统调用追踪（如Dtrace）、虚拟内存攻防及自动化逆向开发（Frida脚本编写），需注意macOS特有的代码签名、Gatekeeper防护机制绕过，以及ARM64架构（Apple Silicon）下的差异分析，整体强调工具组合使用与系统机制深度理解。
MacOS逆向基础
1 Mach-O文件格式
MacOS的可执行文件采用Mach-O（Mach Object）格式，与Windows的PE或Linux的ELF不同，Mach-O文件由多个段（Segment）和节（Section）组成，常见的段包括：
__TEXT：存放代码和只读数据__DATA：存放可读写数据__OBJC：存放Objective-C运行时信息__LINKEDIT：存放符号表和重定位信息
常用工具：
otool：查看Mach-O文件结构otool -l /path/to/binary
file：识别文件类型file /path/to/binary
2 符号表与反编译
MacOS的可执行文件通常包含符号表（Symbol Table），但发布版本可能会被剥离（Stripped），逆向时可以使用以下工具：
nm：查看符号nm -gU /path/to/binary
Hopper Disassembler：图形化反编译工具Ghidra：NSA开源的逆向工程工具，支持Mach-O分析
静态分析技巧
1 字符串分析
查找二进制中的字符串可以帮助快速定位关键逻辑：
strings /path/to/binary | grep "keyword"
或者使用radare2：
r2 -AAA /path/to/binary > iz | grep "keyword"
2 反编译与伪代码生成
使用Hopper或Ghidra可以生成伪代码，帮助理解程序逻辑：
- Hopper：支持ARM/x86_64，提供直观的反编译视图
- Ghidra：支持脚本自动化分析，适合复杂逆向任务
3 查找关键函数
在Objective-C程序中，可以通过类名和方法名定位关键代码：
class-dump /path/to/binary
class-dump可以提取Objective-C头文件，帮助分析类结构。
动态调试技巧
1 使用LLDB调试
LLDB是MacOS默认的调试器,支持断点、内存查看和寄存器操作：
lldb /path/to/binary (lldb) breakpoint set --name main (lldb) run (lldb) disassemble --frame
2 动态Hook
使用Frida或dyld_insert_libraries进行运行时Hook：
DYLD_INSERT_LIBRARIES=/path/to/hook.dylib /path/to/binary
或者使用Frida：
Interceptor.attach(Module.findExportByName(null, "malloc"), {
onEnter: function(args) {
console.log("malloc size: " + args[0].toInt32());
}
});
3 监控系统调用
使用dtrace或strace监控系统调用：
sudo dtruss /path/to/binary
反混淆与反调试对抗
1 代码混淆
MacOS应用可能使用OLLVM或自定义混淆技术，如控制流平坦化、指令替换等，反混淆方法包括：
- 动态执行跟踪：使用
Frida或LLDB记录执行路径 - 符号执行：使用
angr或Triton进行自动化分析
2 检测调试器
常见反调试技术：
ptrace(PT_DENY_ATTACH)：阻止调试器附加sysctl检测进程状态- 使用
Frida绕过：const ptrace = Module.findExportByName(null, "ptrace"); Interceptor.replace(ptrace, new NativeCallback(() => {}, 'int', []));
自动化逆向
1 使用脚本加速分析
- radare2脚本：
r2 -AAA -i script.r2 /path/to/binary
- Ghidra脚本：使用Python编写自动化分析脚本
2 二进制比对
使用BinDiff或radare2比较不同版本的二进制文件，查找补丁或漏洞：
radiff2 -A /path/to/binary1 /path/to/binary2
实战案例：逆向一个MacOS应用
假设我们要逆向一个简单的MacOS CrackMe：
- 静态分析：
file CrackMe otool -tv CrackMe
- 动态调试：
lldb CrackMe (lldb) b main (lldb) run
- Hook关键函数：
// Frida脚本 Interceptor.attach(Module.findExportByName(null, "checkLicense"), { onEnter: function(args) { this.license = args[1]; }, onLeave: function(retval) { retval.replace(0x1); // 强制返回成功 } });
MacOS逆向涉及多个层面的技术,从静态分析到动态调试，再到反混淆和自动化逆向，掌握这些技巧可以帮助安全研究人员、逆向工程师和开发者深入理解MacOS软件的行为，随着Apple Silicon（ARM架构）的普及，逆向技术也在不断演进，建议持续关注新的工具和方法。
推荐工具清单：
- 静态分析：
Hopper、Ghidra、radare2 - 动态调试：
LLDB、Frida、dtrace - 反混淆：
angr、Triton - 自动化：
r2pipe、Ghidra Scripting
希望本文能帮助你快速入门MacOS逆向,并在实际项目中应用这些技巧！