Mach-O Inside: 命令行工具集 otool objdump od 与 dwarfdump
1 otool
otool 命令行工具用来查看 Mach-O 文件的结构。
1.1 查看文件头
otool -h -v 文件路径
-h选项表明查看 Mach-O 文件头。
-v 选项表明将展示的内容进行"符号化"处理。
上面命令行输出的一个例子如下:
magic cputype cpusubtype caps filetype ncmds sizeofcmds flags
MH_MAGIC_64 ARM64 ALL 0x00 EXECUTE 23 3752 NOUNDEFS DYLDLINK TWOLEVEL WEAK_DEFINES BINDS_TO_WEAK PIE
从输出结果可以看出，完全符合 XNU 内核头文件loader.h中定义的struct mach_header_64的结构:
struct mach_header_64 {
uint32_t magic; /* mach magic number identifier */
cpu_type_t cputype; /* cpu specifier */
cpu_subtype_t cpusubtype; /* machine specifier */
uint32_t filetype; /* type of file */
uint32_t ncmds; /* number of load commands */
uint32_t sizeofcmds; /* the size of all the load commands */
uint32_t flags; /* flags */
uint32_t reserved; /* reserved */
};
如果命令行没有加 -v选项，输出的结果会是这样:
magic cputype cpusubtype caps filetype ncmds sizeofcmds flags
0xfeedfacf 16777228 0 0x00 2 23 3752 0x00218085
可以看到，使用-v 选项输出结果会更让人易读。
如果一个 Mach-O 文件是 Universal 类型的，也就是包含多重架构(一般 .o 目标文件或者静态库会是 Universal 的，包含 ARM 和 X86_64 两种架构)，使用-h选项只会输出其中一种架构的头信息。
想要将所有架构头信息都输出，需要使用-f选项:
otool -f -v 文件路径
上面命令行输出的一个例子是:
Fat headers
fat_magic FAT_MAGIC
nfat_arch 2
architecture x86_64
cputype CPU_TYPE_X86_64
cpusubtype CPU_SUBTYPE_X86_64_ALL
capabilities 0x0
offset 48
size 36752
align 2^3 (8)
architecture arm64
cputype CPU_TYPE_ARM64
cpusubtype CPU_SUBTYPE_ARM64_ALL
capabilities 0x0
offset 36800
size 37384
align 2^3 (8)
1.2 查看汇编代码
otool -t -v 文件路径
-t选项会展示 (__TEXT, __text) Section 的内容。
-v选项会反汇编展示的内容，展示汇编代码，前提是待展示的内容是代码指令。
上面命令行输出的一个例子是:
(__TEXT,__text) section
0000000100004000 sub sp, sp, #0x30
0000000100004004 stp x20, x19, [sp, #0x10]
0000000100004008 stp x29, x30, [sp, #0x20]
000000010000400c add x29, sp, #0x20
0000000100004010 adrp x8, 12 ; 0x100010000
0000000100004014 ldr x9, [x8]
0000000100004018 add x9, x9, #0x1
000000010000401c str x9, [x8]
0000000100004020 add x19, x3, x2
0000000100004024 str x19, [sp]
0000000100004028 adrp x0, 8 ; 0x10000c000
000000010000402c add x0, x0, #0x1f0 ; Objc cfstring ref: @"bad cfstring ref"
0000000100004030 bl 0x100007c68 ; symbol stub for: _NSLog
0000000100004034 mov x0, x19
0000000100004038 ldp x29, x30, [sp, #0x20]
000000010000403c ldp x20, x19, [sp, #0x10]
0000000100004040 add sp, sp, #0x30
0000000100004044 ret
上面汇编代码最左边的列是指令的地址。
上面命令行会将 (__TEXT, __text) Section 全部反汇编，如果内容较长不容易查看，因此最好结合more命令:
otool -t -v 文件路径 | more
如果想展示汇编代码的同时，展示汇编指令的编码以及指令的偏移量，可以结合-j与-function_offsets选项:
otool -t -v -j -function_offsets 文件路径
-j选项展示汇编指令的编码。
-function_offsets选项展示指令的偏移量。
上面命令行输出的一个例子是:
(__TEXT,__text) section
+0 0000000100004000 d100c3ff sub sp, sp, #0x30
+4 0000000100004004 a9014ff4 stp x20, x19, [sp, #0x10]
+8 0000000100004008 a9027bfd stp x29, x30, [sp, #0x20]
+12 000000010000400c 910083fd add x29, sp, #0x20
+16 0000000100004010 90000068 adrp x8, 12 ; 0x100010000
+20 0000000100004014 f9400109 ldr x9, [x8]
+24 0000000100004018 91000529 add x9, x9, #0x1
+28 000000010000401c f9000109 str x9, [x8]
+32 0000000100004020 8b020073 add x19, x3, x2
+36 0000000100004024 f90003f3 str x19, [sp]
+40 0000000100004028 90000040 adrp x0, 8 ; 0x10000c000
+44 000000010000402c 9107c000 add x0, x0, #0x1f0 ; Objc cfstring ref: @"bad cfstring ref"
+48 0000000100004030 94000f0e bl 0x100007c68 ; symbol stub for: _NSLog
+52 0000000100004034 aa1303e0 mov x0, x19
+56 0000000100004038 a9427bfd ldp x29, x30, [sp, #0x20]
+60 000000010000403c a9414ff4 ldp x20, x19, [sp, #0x10]
+64 0000000100004040 9100c3ff add sp, sp, #0x30
+68 0000000100004044 d65f03c0 ret
上面输出从左起第 1 列是汇编指令偏移量，第 2 列是指令地址，第 3 列是指令的编码。
1.3 查看不同架构的汇编代码
对于 Universal 类型的 Mach-O 文件，可以使用-arch选项查看指定架构的汇编代码，命令如下:
otool -t -v -arch arm64 文件路径
otool -t -v -arch x86_x64 文件路径
-arch选项指定架构，arm64 表示 64bit 的 ARM CPU 架构，x86_64 表示 64bit 的 Intel x86_64 CPU 架构。
-arch选项的值除了可以是 arm64 和 x86_64，其他的值可以通过下面命令行的输出查看:
man 3 arch
上面命令行输出的一部分结果如下所示:
The currently known architectures are:
Name CPU Type CPU Subtype Description
x86_64 CPU_TYPE_X86_64 CPU_SUBTYPE_X86_64_ALL Intel x86-64
i386 CPU_TYPE_I386 CPU_SUBTYPE_I386_ALL Intel 80x86
arm CPU_TYPE_ARM CPU_SUBTYPE_ARM_ALL ARM
arm64 CPU_TYPE_ARM64 CPU_SUBTYPE_ARM64_ALL ARM64
arm64e CPU_TYPE_ARM64 CPU_SUBTYPE_ARM64E ARM64E
arm64_32 CPU_TYPE_ARM64_32 CPU_SUBTYPE_ARM64_32_V8 ARM64_32
ppc CPU_TYPE_POWERPC CPU_SUBTYPE_POWERPC_ALL PowerPC
1.4 按符号查看汇编代码
如果 Mach-O 文件是 DEBUG 类型，或者虽然是 Relese 类型但是没有设置 Xcode 的如下 Build Setting:
那么就可以使用-p选项使用符号查看汇编代码。
otool -t -v -p "-[X addi:d:]" 文件路径
上面命令行会从符号-[X addi:d:]开始进行反汇编，一直展示到 (__TEXT, __text) Section 末尾，输出内容如下:
(__TEXT,__text) section
-[X addi:d:]:
0000000100004134 sub sp, sp, #0x30
0000000100004138 str x0, [sp, #0x28]
000000010000413c str x1, [sp, #0x20]
0000000100004140 str x2, [sp, #0x18]
0000000100004144 str d0, [sp, #0x10]
0000000100004148 adrp x9, 12 ; 0x100010000
000000010000414c ldr x8, [x9, #0x18]
0000000100004150 add x8, x8, #0x1
0000000100004154 str x8, [x9, #0x18]
0000000100004158 ldr d0, [sp, #0x18]
000000010000415c scvtf d0, d0
0000000100004160 ldr d1, [sp, #0x10]
0000000100004164 fadd d0, d0, d1
0000000100004168 str d0, [sp, #0x8]
000000010000416c ldr d0, [sp, #0x8]
0000000100004170 add sp, sp, #0x30
0000000100004174 ret
1.5 查看指定 Section
otool 可以通过-s选项查看指定的 Section，-s选项的值形式为-s segmentName sectionName:
otool -v -s __TEXT __text 文件路径
上面命令行查看 (__TEXT, __text) Section 的内容
otool -s __DATA __data 文件路径
上面命令行查看 (__DATA, __data) Section 的内容。
1.6 查看间接符号表
间接符号表是程序加载是动态连接器 dyld 会使用到符号表，动态链接器使用这个符号表来完成符号的绑定。otool 可以使用-I选项来查看间接符号表:
otool -I -v 文件路径
-I选项表明查看间接符号表。
-v选项会让展示的结果更详细，更易读。
上面命令行输出的一个例子是:
Indirect symbols for (__TEXT,__stubs) 50 entries
address index name
0x0000000100007c68 4 _NSLog
0x0000000100007c74 5 _NSStringFromClass
0x0000000100007c80 13 _UIApplicationMain
0x0000000100007c8c 15 ___error
0x0000000100007c98 16 ___stack_chk_fail
0x0000000100007ca4 20 _atexit
0x0000000100007cb0 21 _atoi
上面输出从左起address代表符号的地址，index代表该符号在符号表里的索引(符号表里有所有符号)，name是符号名。
1.7 查看 Load Commands
otool 可以使用-l选项查看 Mach-O 中的 Load Commands:
otool -l 文件路径
1.8 查看依赖的动态库
otool 可以使用-L选项查看当前 Mach-O 依赖的动态库:
otool -L 文件路径
一个输出例子如下:
/System/Library/Frameworks/Foundation.framework/Foundation (compatibility version 300.0.0, current version 2048.1.101)
/usr/lib/libobjc.A.dylib (compatibility version 1.0.0, current version 228.0.0)
/usr/lib/libSystem.B.dylib (compatibility version 1.0.0, current version 1336.0.0)
/System/Library/Frameworks/CoreFoundation.framework/CoreFoundation (compatibility version 150.0.0, current version 2048.1.101)
/System/Library/Frameworks/UIKit.framework/UIKit (compatibility version 1.0.0, current version 7082.1.111)
更多 otool 功能可以参考man otool的输出内容。
2 objdump
由于历史原因，苹果使用曾经使用 objdump 展示 Mach-O 信息，因此 objdump 与 otool 许多功能类似。
2.1 查看文件头
objdump -m --private-header 文件路径
-m选项表明是查看 Mach-O 文件。
--private-header表明查看 Mach-O 文件头。
这个命令类似 otool 的otool -h -v。
如果想要查看 Univeral 类型 Mach-O 的文件头，可以使用:
objdump -m --universal-headers 文件路径
-m选项表明是查看 Mach-O 文件。
--universal-headers表明显示 Mach-O 文件中所有架构的文件头。
这个命令类似 otool 的otool -f -v。
2.2 查看汇编代码
objdump 支持按照指定的地址范围显示汇编代码，这个功能在实际中很有用处:
objdump -d --start-address=起始地址 --stop-address=结束地址 文件路径
-d选项表明要执行反汇编。
--start-address选项是反汇编的起始地址。
--stop-address选项是反汇编的结束地址，需要注意的是，反汇编内容不包含 --stop-address 指定的地址，也就是说反汇编的范围是[--start-address, --stop-address)。
上面命令行输出的一个例子如下:
Disassembly of section __TEXT,__text:
0000000100004000 <__text>:
100004000: d100c3ff sub sp, sp, #48
100004004: a9014ff4 stp x20, x19, [sp, #16]
100004008: a9027bfd stp x29, x30, [sp, #32]
10000400c: 910083fd add x29, sp, #32
100004010: 90000068 adrp x8, 0x100010000 <__text+0x40>
100004014: f9400109 ldr x9, [x8]
100004018: 91000529 add x9, x9, #1
10000401c: f9000109 str x9, [x8]
上面输出从左起第 1 列是汇编指令的地址，第 2 类是指令的编码。和 otool 不同，objdump 默认就显示汇编指令的编码。如果不想显示汇编指令编码，加入--no-show-raw-insn选项即可。
objdump 不支持展示汇编代码时，显示偏移量。
如果反汇编时只有-d选项，那么 objdump 会反汇编所有可执行的代码。
2.3 查看不同结构的汇编代码
objdump 可以使用--arch选项，选择不同的架构进行反汇编:
objdump -d --arch=arm64 文件路径
objdump -d --arch=x86_64 文件路径
--arch选项指明 CPU 架构，架构名和 otool 一样，可以使用man 3 arch查看。
这个功能类似 otool 的otool -arch。
2.4 按符号查看汇编代码
和 otool 类似，objdump 支持按照符号进行反汇编:
objdump --disassemble-symbols="符号1","符号2"... 文件路径
--disassemble-symbols选项可以有多个符号，符号之间使用逗号间隔。
这个功能类似 otool 的otool -p。
2.5 反汇编时加入源码行号信息
如果有 DSYM 文件，那么使用 objdump 进行反汇编时，可以显示源码行号信息:
objdump -l --dsym=DSYM文件路径 文件路径
-l选项表明反汇编时展示源码行号信息。
--dsym选项指定 DSYM 文件路径。需要注意的是，需要在 DSYM 文件上右键'Show Package Contents'，然后依次进入 Contents->Resources->DWARF 目录，然后给目录里面的文件添加.app后缀，否则会报如下错误:
上面命令行输出的一个例子如下图所示:
2.6 查看指定的 Section
objdump 通过-j选项查看指定的 Section:
objdump -m -j segmentName,sectionName 文件路径
-m选项表明查看 Mach-O 文件。
-j选项指定要查看的 Section，比如 __TEXT,__text __DATA,__data。
这个命令类似 otool 的otool -s。
2.7 查看间接符号表
objdump 可以查看间接符号表:
objdump -m --indirect-symbols 文件路径
-m选项表明查看 Mach-O 文件
--indirect-symbols选项表明查看间接符号表。
这个命令类似 otool 的otool -Iv，输出的格式也类似:
Indirect symbols for (__TEXT,__stubs) 50 entries
address index name
0x0000000100007c68 4 _NSLog
0x0000000100007c74 5 _NSStringFromClass
0x0000000100007c80 13 _UIApplicationMain
0x0000000100007c8c 15 ___error
0x0000000100007c98 16 ___stack_chk_fail
0x0000000100007ca4 20 _atexit
2.8 查看符号表
objdump 可以直接查看整个符号表:
objdump -t 文件路径
其输出格式如下:
SYMBOL TABLE:
0000000005614542 d *UND* .hidden radr://5614542
000000010000d878 w O __DATA,__data ___llvm_profile_filename
000000010000d880 w O __DATA,__data ___llvm_profile_raw_version
0000000100000000 g F __TEXT,__text __mh_execute_header
0000000000000000 *UND* _NSLog
0000000000000000 *UND* _NSStringFromClass
0000000000000000 *UND* _OBJC_CLASS_$_NSObject
0000000000000000 *UND* _OBJC_CLASS_$_UIResponder
0000000000000000 w *UND* _OBJC_CLASS_$_UISceneConfiguration
0000000000000000 *UND* _OBJC_CLASS_$_UIViewController
0000000000000000 *UND* _OBJC_METACLASS_$_NSObject
0000000000000000 *UND* _OBJC_METACLASS_$_UIResponder
0000000000000000 *UND* _OBJC_METACLASS_$_UIViewController
0000000000000000 *UND* _UIApplicationMain
0000000000000000 *UND* ___CFConstantStringClassReference
0000000000000000 *UND* ___error
0000000000000000 *UND* ___stack_chk_fail
0000000000000000 *UND* ___stack_chk_guard
0000000000000000 *UND* ___stderrp
0000000000000000 *UND* __objc_empty_cache
0000000000000000 *UND* _atexit
0000000000000000 *UND* _atoi
从输出上可以看出来，按照间接符号表的index列可以对应到符号表里。比如 __NSLog在间接符号表的index 为 5，符号表的第 5 项(符号表索引以 0 开始)，正好是__NSLog。
2.9 查看 Load Commands
objdump 可以查看 Load Commands:
objdump -m -x 文件路径
-m表明要查看 Mach-O 文件。
-x表明展示 Load Commands。
这个命令类似 otool 的otool -l。
2.10 查看依赖的动态库
objdump 可以查看依赖的动态:
objdump -m --dylibs-used 文件路径
-m选项表明要查看 Mach-O 文件。
--dylibs-used选项表明查看依赖的动态库。
这个命令类似 otool 的otool -L。
2.11 Demangle Symbol
源代码中的符号在编译之后，会被编译器混淆:
objdump 支持将混淆的符号还原:
objdump -C 文件路径
-C选项表明要还原混淆的符号。
上图中混淆的符号还原之后:
更多 objdump 功能可以参考man objdump的输出内容。
3 od
od 命令可以用来查看二进制的内容，可以用它来查看 Mach-O 文件的原始字节。
3.1 指定展示格式
od -A x -t x 文件路径
-A选项表明地址是用 10(d) 进制、8(o) 进制、16(x) 进制展示，默认使用 8 进制展示。
-t选项表明用哪种进制展示内容，可以是 10(d) 进制、8(o) 进制、16(x) 进制，默认是 8 进制。
上面命令行输出的一个例子是:
上图从左边起第 1 列就是地址或者说字节的偏移量更准确，其他列都是 Mach-O 文件的内容，可以看到第 2 列第 1 行 feedfacf 正式 Mach-O 里面的魔数。
选项-t 值后面还可以接一个 10 进制数，表示按多少个字节一组展示内容，比如-t x1就表示一个字节一个字节的展示文件内容:
od -A x -t x1 文件路径
上面命令行输出的例子如下:
从上图红框可以看到，Mach-O 文件是小端在前(Little-Endian)字节序。
3.2 跳过部分字节
od 支持跳过指定的字节数然后展示:
od -A x -t x -j 0x4000 文件路径
-j选项表明跳过多少字节，上面例子中要跳过 0x4000 个字节。
更多 od 功能可以参考man od的输出内容。
4 dwarfdump
dwarfdump 用来查看 DWARF 文件内容。
4.1 查看 UUID
dwarfdump 可以查看任何一个 Mach-O 文件的 UUID，这在分析崩溃堆栈时十分有用:
dwarfdump --uuid 文件路径
4.2 查找地址对应的符号信息
dwarfdump 可以查找地址对应的符号信息:
dwarfdump --lookup=地址 文件路径
--lookup选项后面是要查找的符号地址。
上面命令行一个输出的例子为:
当在分析崩溃信息时，可以使用这个方法找到地址对应的函数名。
4.3 查找符号名对应的信息
dwarfdump 可以查找符号名对应的详细信息:
dwarfdump -f 符号名 文件路径
-f选项后面是要查询的符号名，比如:
dwarfdump -f "-[X add:j:]" 文件路径
输出的结果如下:
当在分析崩溃信息时，可以用这个方法反查崩溃函数的地址，然后使用 objdump 工具查看崩溃地址的具体汇编代码。
更多 dwarfdump 功能可以参考man dwarfdump。
