1. Otool简介
Otool可以提取并显示ios下目标文件的相关信息，包括头部，加载命令，各个段，共享库，动态库等等。它拥有大量的命令选项，是一个功能强大的分析工具，当然还可以做反汇编的工具使用。
2. Mach-o基本结构
Mach-o包含三个基本区域：
- 头部（header structure）。
- 加载命令（load command）。
- 段（segment）。可以拥有多个段（segment），每个段可以拥有零个或多个区域（section）。每一个段（segment）都拥有一段虚拟地址映射到进程的地址空间。
- 链接信息。一个完整的用户级Mach-o文件的末端是链接信息。其中包含了动态加载器用来链接可执行文件或者依赖库所需使用的符号表，字符串表等等。
3. 头部结构
Mach-o的头部帮助内核迅速确定当前文件所支持的CPU架构。它位于Mach-o文件的开始部分。
可以用otool –h XX来获取某文件的header structure。
Otool –h ButtonFun;
ButtonFun (architecture armv6):
Mach header
magic cputype cpusubtype caps filetype ncmds sizeofcmds flags
0xfeedface 12 6 0×00 2 19 2404 0×00000085
ButtonFun (architecture armv7):
Mach header
magic cputype cpusubtype caps filetype ncmds sizeofcmds flags
0xfeedface 12 9 0×00 2 19 2404 0×00200085
从上面的输出可以看到header部分的字段，下面来看一下头部结构的定义和意义：
[codesyntax lang="c" lines="normal"]
struct mach_header {
uint32_t magic;
/* mach magic number identifier */
cpu_type_t cputype;
/* cpu specifier */
cpu_subtype_t cpusubtype;
/* machine specifier */
uint32_t filetype;
/* type of file */
uint32_t ncmds;
/* number of load commands */
uint32_t sizeofcmds;
/* the size of all the load commands */
uint32_t flags;
/* flags */
};
[/codesyntax] 64位对应的定义（下文中不再追述64位下的定义）：
[codesyntax lang="c" lines="fancy"]
struct mach_header_64 {
uint32_t magic;
/* mach magic number identifier */
cpu_type_t cputype;
/* cpu specifier */
cpu_subtype_t cpusubtype;
/* machine specifier */
uint32_t filetype;
/* type of file */
uint32_t ncmds;
/* number of load commands */
uint32_t sizeofcmds;
/* the size of all the load commands */
uint32_t flags;
/* flags */
uint32_t reserved;
/* reserved */
};
[/codesyntax]Magic字段，用于标明当前文件是32位还是64位的常量。
32位通常定义如下：
[codesyntax lang="c" lines="fancy"]
#define MH_MAGIC 0xfeedface /* the mach magic number */
[/codesyntax] 64位通常定义如下：
[codesyntax lang="c" lines="fancy"]
#define MH_MAGIC_64 0xfeedfacf /* the 64-bit mach magic number */
[/codesyntax]Cputype段用于只是当前文件的目标架构，即当前代码只能在指定CPU上运行。
[codesyntax lang="c" lines="fancy"]
#define CPU_TYPE_ARM ((cpu_type_t) 12)
[/codesyntax] Cputype在/usr/include/mach/machine.h中定义；
- Cpusubtype指定CPU确切的模型。其定义同样参见/usr/include/mach/machine.h；
- Filetype字段用于标识文件的布局包括对齐方式等。在/usr/include/mach-o/loader.h中定义了filetype字段的常量。
- Ncmds和sizeofcmds字段，加载命令的数目和大小。
- Flag字段。
4. 加载命令
头部之后就是加载命令。加载命令的数目以及总的大小在header中已经给出。加载命令标识文件的布局以及链接相关的信息，主要包含：
- 虚拟地址的出师布局，包括某段（segment）某区域（section）的起始地址以及大小；
- 用于动态链接的符号表；
- 主线程的初始化状态；
- 共享库。
利用命令otool –l XX 可以获取加载命令区。
Otool –l ButtonFun;所得加载命令如下（截取一小部分，完整版见最后的附件）：
ButtonFun:
Load command 0
cmd LC_SEGMENT
cmdsize 56
segname __PAGEZERO
vmaddr 0×00000000
vmsize 0×00001000
fileoff 0
filesize 0
maxprot 0×00000000
initprot 0×00000000
nsects 0
flags 0×0
Load command 1
cmd LC_SEGMENT
cmdsize 464
segname __TEXT
vmaddr 0×00001000
vmsize 0×00002000
fileoff 0
filesize 8192
maxprot 0×00000007
initprot 0×00000005
nsects 6
flags 0×0
先看一下加载命令定义：
[codesyntax lang="c" lines="fancy"]
struct load_command {
uint32_t cmd;
/* type of load command */
uint32_t cmdsize;
/* total size of command in bytes */
};
[/codesyntax]cmd是一个字符串常量，用来指示命令类型。对于每一种命令类型都有一个专有的结构体。具体的加载命令类型可以参考/usr/include/mach-o/loader.h
- cmdsize是加载命令的字节数。
当加载命令的类型为LC_SEGMENT时（segment load command），意味着这部分文件需要映射到进程的地址空间中去。其对应的结构体如下：
[codesyntax lang="c" lines="fancy"]
struct segment_command {
/* for 32-bit architectures */
uint32_t cmd;
/* LC_SEGMENT */
uint32_t cmdsize;
/* includes sizeof section structs */
char segname[16];
/* segment name */
uint32_t vmaddr;
/* memory address of this segment */
uint32_t vmsize;
/* memory size of this segment */
uint32_t fileoff;
/* file offset of this segment */
uint32_t filesize;
/* amount to map from the file */
vm_prot_t maxprot;
/* maximum VM protection */
vm_prot_t initprot;
/* initial VM protection */
uint32_t nsects;
/* number of sections in segment */
uint32_t flags;
/* flags */
};
[/codesyntax]cmd字段 类型为LC_SEGMENT；
- cmdsize字段 当前段（segment）所包含的sections的字节数。
- flag字段 SG_HIGHVM，SG_FVMLIB，SG_NORELOC，SG_PROTECTED_VERSION_1；具体解释参照/usr/include/mach-o/loader.h
文件映射的起始位置是由fileoff给出，映射到地址空间的vmaddr处。
vmsize等于或者大于filesize。
看到上面两个定义，我们在回头看截取的load command 0，发现：
- 类型为LC_SEGMENT，故完全符合segment_command的定义
- 在截取信息中，我们可以清晰的看到命令字节数，虚拟地址起始位置，所占空间等信息。
如果当前段（segment）包含section，那么section structure紧跟在segment command之后，section所占的字节数由当前段的cmdsize字段给出。
Section的定义如下：
[codesyntax lang="c" lines="fancy"]
struct section {
/* for 32-bit architectures */
char sectname[16];
/* name of this section */
char segname[16];
/* segment this section goes in */
uint32_t addr;
/* memory address of this section */
uint32_t size;
/* size in bytes of this section */
uint32_t offset;
/* file offset of this section */
uint32_t align;
/* section alignment (power of 2) */
uint32_t reloff;
/* file offset of relocation entries */
uint32_t nreloc;
/* number of relocation entries */
uint32_t flags;
/* flags (section type and attributes)*/
uint32_t reserved1;
/* reserved (for offset or index) */
uint32_t reserved2;
/* reserved (for count or sizeof) */
};
[/codesyntax]flag字段 section的flag字段分为两个部分，一个是区域类型（section type），一个是区域属性（section attributes）。其中type是互斥的，即只能有一个类型，而attributes不是互斥的，可以有多个属性。如果段（segment）中的任何一个section拥有属性S_ATTR_DEBUG，那么该段所有的section都必须拥有这个属性。具体的flag字段内容以及意义请参考/usr/include/mach-o/loader.h。
- 段名（segname）和区域名（sectname）本身没有意义。但是为了支持传统的UNIX系统所以使用了一些传统意义上的段名和区域名称，比如TEXT段，DATA段。
下面是__TEXT段的部分截取：
Load command 1
cmd LC_SEGMENT
cmdsize 464
segname __TEXT
vmaddr 0×00001000
vmsize 0×00002000
fileoff 0
filesize 8192
maxprot 0×00000007
initprot 0×00000005
nsects 6
flags 0×0
Section
sectname __text
segname __TEXT
addr 0x00001b50
size 0x000008f6
offset 2896
align 2^4 (16)
reloff 0
nreloc 0
flags 0×80000400
reserved1 0
reserved2 0
- Cmd为LC_SEGMENT，所以前面是segment_command结构体，紧跟着就是当前段所拥有的section，这里之截取了一个section
- __TEXT段的__text section，参考section的定义，可以很清除的明白个字段的意义。
Load command中根据类型（即cmd字段）的不同，分别定义了相关的结构体，具体请参详/usr/include/mach-o/loader.h。
5. 段（segment和section）
段的命名规则是两个下划线紧跟着大写字母（如__TEXT），而section的命名则是两个下划线紧跟着小写字母（__text）。
下面列出段中可能包含的section：
- __TEXT段:
__text, __cstring, __picsymbol_stub, __symbol_stub, __const, __litera14, __litera18;
- __DATA段
__data, __la_symbol_ptr, __nl_symbol_ptr, __dyld, __const, __mod_init_func, __mod_term_func, __bss, __commom;
- __IMPORT段
__jump_table, __pointers;
其中__TEXT段中的__text是实际上的代码部分；__DATA段的__data是实际的初始数据。
可以通过otool –s查看某segment的某个section。
例如 otool –sv __DATA __data ButtonFun，得到如下文件：
ButtonFun:
(__DATA,__data) section
00003648 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00
00003658 00 00 00 00 8d 29 00 00 84 32 00 00 00 00 00 00
00003668 00 00 00 00 80 31 00 00 00 00 00 00 00 00 00 00
00003678 28 00 00 00 00 00 00 00 00 00 00 00 0e 2b 00 00
00003688 00 00 00 00 8c 32 00 00 00 00 00 00 00 00 00 00
00003698 00 00 00 00 00 00 00 00 28 00 00 00 00 00 00 00
000036a8 00 00 00 00 48 2d 00 00 b8 34 00 00 00 00 00 00
000036b8 00 00 00 00 68 34 00 00 00 00 00 00 00 00 00 00
000036c8 28 00 00 00 00 00 00 00
可以通过otool –t直接查看代码段（__TEXT）的反汇编代码，也可以通过otool –d查看数据段内容，例如：Otool –tv ButtonFun得到如下内容（截取部分）：
ButtonFun:
(__TEXT,__text) section
start:
00001b50 pushl $0×00
00001b52 movl %esp,%ebp
00001b54 andl $0xf0,%esp
00001b57 subl $0×10,%esp
00001b5a movl 0×04(%ebp),%ebx
00001b5d movl %ebx,(%esp)
00001b60 leal 0×08(%ebp),%ecx
00001b63 movl %ecx,0×04(%esp)
00001b67 addl $0×01,%ebx
00001b6a shll $0×02,%ebx
00001b6d addl %ecx,%ebx
00001b6f movl %ebx,0×08(%esp)
00001b73 movl (%ebx),%eax
00001b75 addl $0×04,%ebx
00001b78 testl %eax,%eax
00001b7a jne 0x00001b73
00001b7c movl %ebx,0x0c(%esp)
00001b80 calll 0x00001b90
00001b85 movl %eax,(%esp)
00001b88 calll 0x0000244c
00001b8d hlt
00001b8e nop
00001b8f nop
参考资料：
http://blog.163.com/iswing@126/blog/static/166700480201129102259978/
http://www.mc2lab.com/?p=68