Dylib注入&劫持总结

Dylib基础

• macho
Mach-O (Mach Object 的缩写)是 IOS/macOS 下的原生可执行文件格式，可用于可执行文件、共享库、动态加载的代码等等。

• dylib
也被称为动态共享库、共享对象或动态链接库，简单来说 dylib 就是用于动态链接的库。

• Load commands
Mach-O文件由头(Header)、装载指令(Load Commands)和数据(Data)组成。这些加载命令在Mach-O文件加载解析时，被内核加载器或者动态链接器调用，这些加载命令指定了二进制文件的布局和链接特性（内存布局、主线程的初始执行状态、依赖的动态链接的名称等）。

struct load_command {
	uint32_t cmd;		/* type of load command  */
	uint32_t cmdsize;	/* total size of command in bytes */
};

• cmd 字段代表当前加载命令的类型。

• cmdsize 字段代表当前加载命令的大小。
加载命令类型的定义在 mach-o/loader.h 中，以 LC 为前缀的；所有的这些加载命令由系统内核加载器直接使用，或由动态链接器处理。其中几个常见的加载命令有LC_SEGMENT、LC_LOAD_DYLINKER、LC_LOAD_DYLIB、LC_MAIN、LC_CODE_SIGNATURE、LC_ENCRYPTION_INFO 等。这里重点关注下 dylib 的加载，当cmd类型是LC_LOAD_DYLIB、LC_LOAD_WEAK_DYLIB与LC_REEXPORT_DYLIB 时，统一使用 dylib_command 结构体表示：

...
struct dylib_command {
	uint32_t	cmd;		/* LC_ID_DYLIB, LC_LOAD_{,WEAK_}DYLIB,
					   LC_REEXPORT_DYLIB */
	uint32_t	cmdsize;	/* includes pathname string */
	struct dylib	dylib;		/* the library identification */
};
...
struct dylib {
    union lc_str  name;			/* library's path name */
    uint32_t timestamp;			/* library's build time stamp */
    uint32_t current_version;		/* library's current version number */
    uint32_t compatibility_version;	/* library's compatibility vers number*/
};

“DYLD_INSERT_LIBRARIES”环境变量

• example.dylib

// clang -shared -framework Foundation example_dylib.m -o libexample.dylib
#import <Foundation/Foundation.h>
static void __attribute__((constructor)) initialize(void){
    NSLog(@"insert_dylib i'm here");
}

• hello.m

// clang -framework Foundation hello.m -o hello
#import <Foundation/Foundation.h>
int main(int argc, char **argv) {
    @autoreleasepool {
    NSLog(@"HelloWorld!");
    }
}

$ DYLD_INSERT_LIBRARIES=./libexample.dylib ./hello                                           
2022-11-20 21:06:06.397 hello[17898:473695] insert_dylib i'm here
2022-11-20 21:06:06.398 hello[17898:473695] HelloWorld!

“DYLD_INSERT_LIBRARIES”的限制

• Hardened Runtime
SIP&Hardened Runtime 通过防止某些类型的攻击（如代码注入、动态链接库 (DLL) 劫持和进程内存空间篡改）来保护软件的运行时完整性。
使用 codesign -dvvv xxx 查看MachO签名信息，runntime选项指为0x10000)，如图中的应用就不会加载&运行注入的dylib：

com.apple.security.cs.allow-dyld-environment-variables
com.apple.security.cs.disable-library-validation

• Library Validation
验证每个加载dylib的签名，需要与主可执行文件相同的密钥进行签名的才能通过。
Library Validation选项指为0x2000 。

DYLD_INSERT_LIBRARIES实例

Dylib劫持

1. 对加载命令为 LC_LOAD_WEAK_DYLIB Dylib 进行劫持
什么是弱引用？dyld 是macOS 上动态链接器，其运行原理在文章中有详细的描述。简单来说dylb在加载动态库时，如果动态库的加载命令为 LC_LOAD_WEAK_DYLIB 即使库缺失了也不会影响程序的加载和运行。

1. 对搜索路径为 @rpath Dylib 进行劫持

Dylib劫持的限制

1. 和 DYLD_INSERT_LIBRARIES一样存在 Hardened Runtime 和 Library Validation 签名选项的限制。

2. 劫持 Dylib 的路径
由于macOS的系统完整性保护(SIP)，/usr/lib/* 或者 /System/Library/* 等受SIP保护下目录中的文件没权限修改，可以直接忽略（除非用户手动关闭SIP）。

Dylib劫持实例

Dylib Proxying

1. 设置LC_REEXPORT_DYLIB链接器指令
使用 Xcode 向劫持者的dylib 项目添加几个链接器标志：-Xlinker,reexport_library，添加目标代理库的路径：

2. 链接器标志生成一个嵌入 LC_REEXPORT_DYLIB 加载命令：

1. 修改LC_REEXPORT_DYLIB 为绝对路径
dyld 加载程序将尝试直接从文件系统加载 LC_REEXPORT_DYLIB 的路径，如果路径为@rpath 等非绝对路径必然会失败。使用 install_name_tool 修改路径：
install_name_tool -change @rpath/xxxlib /Applications/xxx.app/lib

自动化的实现

参考文章

• https://theevilbit.github.io/posts/dyld_insert_libraries_dylib_injection_in_macos_osx_deep_dive/

• https://wincent.com/wiki/%40executable_path%2C_%40load_path_and_%40rpath

• https://papers.put.as/papers/macosx/2015/vb201503-dylib-hijacking.pdf

• https://theevilbit.github.io/posts/getting_root_with_benign_appstore_apps/

• https://web.archive.org/web/20161007013145/http://pewpewthespells.com/blog/blocking_code_injection_on_ios_and_os_x.html

• https://objective-see.org/products/dhs.html

• https://speakerdeck.com/patrickwardle/dll-hijacking-on-os-x-number-at-percent-and-yeah

• https://www.anquanke.com/post/id/202673

• https://attack.mitre.org/techniques/T1574/004/