1. Mach-O文件中的__objc_classlist节解析在逆向工程和Objective-C运行时分析中Mach-O文件的__objc_classlist节是一个关键数据结构。这个节区存储了二进制文件中所有Objective-C类的引用信息是理解iOS/macOS应用类结构的重要入口。1.1 Mach-O文件基础结构回顾Mach-O是macOS和iOS系统使用的可执行文件格式由多个加载命令(Load Command)和节(Section)组成。每个__objc_开头的节都对应Objective-C运行时的特定数据结构__objc_classlist类引用列表__objc_protolist协议列表__objc_selrefs方法选择器引用__objc_classrefs类引用__objc_superrefs父类引用这些节区在链接时由编译器生成在运行时被dyld动态加载器解析。通过分析这些数据结构我们可以还原出应用的完整类继承关系和方法调用链路。1.2 __objc_classlist节的结构解析__objc_classlist节本质上是一个指针数组每个指针指向一个objc_class结构体。在64位系统上每个指针占8字节。结构示意如下__objc_classlist: 0x100000000 - ClassA 0x100000008 - ClassB 0x100000010 - ClassC对应的objc_class结构体包含以下关键字段以arm64为例struct objc_class { uint64_t isa; // 元类指针 uint64_t superclass; // 父类指针 uint64_t cache; // 方法缓存 uint64_t vtable; // 虚函数表 uint64_t data; // 指向class_ro_t结构 };其中data字段指向的class_ro_t结构包含类名、方法列表、属性列表等核心信息。这个结构在运行时会被复制并修改为class_rw_t。2. 从二进制角度解析类信息2.1 使用otool分析__objc_classlistmacOS自带的otool工具可以直接查看Mach-O文件的节区信息otool -s __OBJC __objc_classlist MyApp对于加密的AppStore应用需要先进行解密操作。更直观的方法是使用MachOView等GUI工具可以直接看到节区的十六进制内容和对应的反解析结构。2.2 类信息的完整解析流程定位__objc_classlist节的文件偏移和大小遍历其中的每个指针找到对应的objc_class结构解析data字段指向的class_ro_t结构获取类名指向__objc_classname节的字符串解析方法列表指向__objc_method_list解析属性列表指向__objc_proplist解析协议列表指向__objc_protolist递归解析父类信息注意在iOS 12及以上系统部分数据结构采用了Relative Method Lists等优化技术指针存储的是相对偏移量而非绝对地址。3. 运行时与静态分析的差异3.1 动态注册的类通过objc_allocateClassPair动态创建的类不会出现在__objc_classlist中。这类类通常用于插件系统动态加载KVO生成的中间类某些桥接技术实现3.2 类别(Category)的处理类别信息存储在__objc_catlist节不会修改原始类的__objc_classlist条目。但运行时会将类别方法附加到原始类的方法列表中。3.3 懒加载类标记为__DATA.__objc_lazy_class的类会在首次使用时才初始化但仍在__objc_classlist中有记录。4. 实际案例分析4.1 识别未使用的类通过交叉分析__objc_classlist和__objc_classrefs可以找出定义了但从未被引用的僵尸类收集__objc_classlist中的所有类收集__objc_classrefs中所有被引用的类取差集得到未使用的类4.2 类继承关系重建通过递归解析每个类的superclass指针可以构建完整的类继承树。典型工具如class-dump就是基于这个原理。4.3 Swift类的特殊处理Swift类也会出现在__objc_classlist中但有以下特点类名带有模块前缀如_TtC5MyApp10MyViewController方法名经过名称重整可能包含额外的Swift特定数据段5. 常见问题排查5.1 指针解析错误在手动解析时常见的错误包括未考虑PIE位置无关代码导致的偏移计算错误混淆文件偏移和虚拟地址未处理加密的Mach-O文件解决方案使用dyldinfo命令查看正确的加载地址对加密文件先用frida-ios-dump等工具解密5.2 数据结构版本差异不同iOS版本的数据结构可能有变化iOS 10之前直接指针iOS 10-12部分相对偏移iOS 13更多压缩优化建议使用最新的objc4源码作为参考。5.3 工具链选择建议静态分析MachOView、otool、objc4源码动态分析Cycript、Frida、LLDB自动化工具class-dump、Hopper Disassembler我个人在实际逆向工程中发现结合静态分析和runtime introspection如method_getImplementation能获得最准确的结果。对于大型应用建议先通过__objc_classlist筛选出目标类再针对性地深入分析。
1. Mach-O文件中的__objc_classlist节解析在逆向工程和Objective-C运行时分析中Mach-O文件的__objc_classlist节是一个关键数据结构。这个节区存储了二进制文件中所有Objective-C类的引用信息是理解iOS/macOS应用类结构的重要入口。1.1 Mach-O文件基础结构回顾Mach-O是macOS和iOS系统使用的可执行文件格式由多个加载命令(Load Command)和节(Section)组成。每个__objc_开头的节都对应Objective-C运行时的特定数据结构__objc_classlist类引用列表__objc_protolist协议列表__objc_selrefs方法选择器引用__objc_classrefs类引用__objc_superrefs父类引用这些节区在链接时由编译器生成在运行时被dyld动态加载器解析。通过分析这些数据结构我们可以还原出应用的完整类继承关系和方法调用链路。1.2 __objc_classlist节的结构解析__objc_classlist节本质上是一个指针数组每个指针指向一个objc_class结构体。在64位系统上每个指针占8字节。结构示意如下__objc_classlist: 0x100000000 - ClassA 0x100000008 - ClassB 0x100000010 - ClassC对应的objc_class结构体包含以下关键字段以arm64为例struct objc_class { uint64_t isa; // 元类指针 uint64_t superclass; // 父类指针 uint64_t cache; // 方法缓存 uint64_t vtable; // 虚函数表 uint64_t data; // 指向class_ro_t结构 };其中data字段指向的class_ro_t结构包含类名、方法列表、属性列表等核心信息。这个结构在运行时会被复制并修改为class_rw_t。2. 从二进制角度解析类信息2.1 使用otool分析__objc_classlistmacOS自带的otool工具可以直接查看Mach-O文件的节区信息otool -s __OBJC __objc_classlist MyApp对于加密的AppStore应用需要先进行解密操作。更直观的方法是使用MachOView等GUI工具可以直接看到节区的十六进制内容和对应的反解析结构。2.2 类信息的完整解析流程定位__objc_classlist节的文件偏移和大小遍历其中的每个指针找到对应的objc_class结构解析data字段指向的class_ro_t结构获取类名指向__objc_classname节的字符串解析方法列表指向__objc_method_list解析属性列表指向__objc_proplist解析协议列表指向__objc_protolist递归解析父类信息注意在iOS 12及以上系统部分数据结构采用了Relative Method Lists等优化技术指针存储的是相对偏移量而非绝对地址。3. 运行时与静态分析的差异3.1 动态注册的类通过objc_allocateClassPair动态创建的类不会出现在__objc_classlist中。这类类通常用于插件系统动态加载KVO生成的中间类某些桥接技术实现3.2 类别(Category)的处理类别信息存储在__objc_catlist节不会修改原始类的__objc_classlist条目。但运行时会将类别方法附加到原始类的方法列表中。3.3 懒加载类标记为__DATA.__objc_lazy_class的类会在首次使用时才初始化但仍在__objc_classlist中有记录。4. 实际案例分析4.1 识别未使用的类通过交叉分析__objc_classlist和__objc_classrefs可以找出定义了但从未被引用的僵尸类收集__objc_classlist中的所有类收集__objc_classrefs中所有被引用的类取差集得到未使用的类4.2 类继承关系重建通过递归解析每个类的superclass指针可以构建完整的类继承树。典型工具如class-dump就是基于这个原理。4.3 Swift类的特殊处理Swift类也会出现在__objc_classlist中但有以下特点类名带有模块前缀如_TtC5MyApp10MyViewController方法名经过名称重整可能包含额外的Swift特定数据段5. 常见问题排查5.1 指针解析错误在手动解析时常见的错误包括未考虑PIE位置无关代码导致的偏移计算错误混淆文件偏移和虚拟地址未处理加密的Mach-O文件解决方案使用dyldinfo命令查看正确的加载地址对加密文件先用frida-ios-dump等工具解密5.2 数据结构版本差异不同iOS版本的数据结构可能有变化iOS 10之前直接指针iOS 10-12部分相对偏移iOS 13更多压缩优化建议使用最新的objc4源码作为参考。5.3 工具链选择建议静态分析MachOView、otool、objc4源码动态分析Cycript、Frida、LLDB自动化工具class-dump、Hopper Disassembler我个人在实际逆向工程中发现结合静态分析和runtime introspection如method_getImplementation能获得最准确的结果。对于大型应用建议先通过__objc_classlist筛选出目标类再针对性地深入分析。
