在日常开发中，我们经常需要hook一些方法，添加一些自己的逻辑，本文将介绍两种动态修改方法实现的手段。

1. 动态修改 Objective-C 方法实现
2. 动态修改 C 语言函数实现

本文主要从原理的角度来介绍为什么能够动态修改方法实现

主要涉及的知识点：

1. Objective-C 消息体系
2. Mach-O 格式
3. fishhook 原理

0x01. 动态修改 Objective-C 方法实现

1) Objective-C 消息机制简介

先啰嗦一下Objective-C，后面我们再讨论如何修改Objective-C的方法实现

Objective-C是一种通用、高级、面向对象的编程语言。它扩展了标准的ANSI C编程语言，将Smalltalk式的消息传递机制加入到ANSI C中。目前主要支持的编译器有GCC和Clang（采用LLVM作为后端）。
--- 摘自维基百科

维基百科给的解释中给到了三个关键点：
1. 扩展了标准ANSI C

在Objective-C 是C语言的超集, 源代码中可以无缝使用C语言

2. 加入了消息传递机制

在传统面向对象语言中，方法的调用是person.run()的形式，等价于run(this),即此处的run方法指示一个普通的函数，参数为this指针，函数的地址是在编译器确定的，一般来说，一旦编译完成，是无法更改对象的地址的；

而在Objective-C中，方法调用形式如同 [person run]，被称为消息发送，即“对person对象发送run消息”；简单来说，分为以下几步：

1. [person run]会被翻译成objc_msgSend(person, @selector(run))
2. 从类Person的方法列表中查找到run 方法的信息（底层是method_t类型），此处信息是个结构体，包含方法名、类型（返回值和参数类型）、指向实际代码的指针

多啰嗦一句，@selector(run)返回的SEL类型其实是个字符串，Objective-C 方法查找是通过这个字符串匹配查找的，远远没有静态函数的调用高效，所以在源码层添加了一层缓存，缓解了多次查找低效问题

3. 面向对象

面向对象是一个很大的概念，这里不展开，因为C语言不支持对象，Objective-C建立了一套对象体系，Runtime整个对象体系中不可或缺的一环

2) 如何修改Objective-C 方法实现

聊了这么多，回到正题，如何动态修改 Objective-C 方法实现？

上面我们知道，针对[person run]等价于objc_msgSend(person, @selector(run))，从类Person的方法列表中查找到run 方法的信息个结构体，里面包含了指向实际代码的指针，然后进行调用

typedef struct method_t *Method;
struct method_t {
    SEL name;
    const char *types;
    MethodListIMP imp; // 此处是IMP类型，也就是个函数指针

    struct SortBySELAddress :
        public std::binary_function<const method_t&,
                                    const method_t&, bool>
    {
        bool operator() (const method_t& lhs,
                         const method_t& rhs)
        { return lhs.name < rhs.name; }
    };
};

既然是个结构体，我们便有办法修改指向实际代码的指针指向，使指调用到别处

如上代码
我们只要能替换掉imp指针即可！
我们只要能替换掉imp指针即可！
我们只要能替换掉imp指针即可！

Runtime 提供了相应的API，可以很方便的进行替换，这就是我们经常听说的 method swizzle

class_getInstanceMethod 获取Class的实例方法，即“-”号方法，返回Method结构
class_getClassMethod 获取Class的类方法，即“+”号方法，返回Method结构
method_exchangeImplementations 交换方法实现

瞄一眼源代码，也证明了我们的猜测，交换了指针指向

void method_exchangeImplementations(Method m1, Method m2)
{
    if (!m1  ||  !m2) return;

    mutex_locker_t lock(runtimeLock);

    IMP m1_imp = m1->imp;
    m1->imp = m2->imp;
    m2->imp = m1_imp;
    ...
}

示例代码

@implementation ViewController
+ (void)load {
    // 找到ViewController 中的实例方法 viewDidLoad的 Method
    Method origin = class_getInstanceMethod(self, @selector(viewDidLoad));
    // 找到ViewController 中的实例方法 custom_viewDidLoad的 Method
    Method custom = class_getInstanceMethod(self, @selector(custom_viewDidLoad));
    // 调用Runtime 方法交换实现
    method_exchangeImplementations(origin, custom);
}

- (void)viewDidLoad {
    [super viewDidLoad];
    
}

- (void)custom_viewDidLoad {
    // 这里可以添加自己的逻辑
    [self custom_viewDidLoad];
}


@end

再啰嗦一句，+ load方法在调用时机在 main函数之前，Runtime初始化之后；
Runtime会先调用所有类的+ load方法，然后再调用所有Category的+ load方法，想想一下多个Category的+ load方法中都对同一个方法进行了交换会出现什么问题？

0x02. 动态修改 C 语言函数实现

1. 原理

C语言作为一个很古老的静态编译型语言，代码编译完成后，所有函数调用便固定了，无法进行修改，函数调用，比如run函数仅仅是一个函数指针，函数调用后会跳转到该地址处继续执行而已。

这样看来，动态修改C函数的实现似乎不太可能？

这里我们需要思考一个问题，如下代码中，NSLog这个函数的调用过程是什么？

int main(int argc, const char * argv) {
    NSLog(@“%@”, “hello world”);
}

首先，我们需要先搞明白，NSLog函数是在Foundation动态库中定义的，main函数是如何调用到NSLog函数的，函数地址是如何拿到的？

首先，在main函数中的_NSLog符号 和 Foundation 中的NSLog的实际实现需要关联。

1. 如果是静态链接，链接器会将_NSLog 符号会直接指向 NSLog的实现，这样就跟链接器脱离了关系，即实际指令 jmp 0xXXXXXXX，这种情况程序运行过程中是无法进行hook的。
2. 如果是动态链接，链接器会将_NSLog 符号和 Foundation 中的NSLog的具体实现建立某种联系，然后由dyld 帮我们找到Foundation中的实现。

dyld 建立符号和具体实现之间的联系的过程叫做绑定（bind），绑定根据绑定时机又可以分为，启动时绑定和延时绑定：

• 启动时绑定：在程序运行时，dyld 会自动将符号和实现绑定
• 延时绑定：在程序运行后，当符号调用时，会自动跳转到 dyld 的dyld_stub_binder 方法，由 dyld 帮我们找到具体实现

_NSLog和其具体实现就是延时绑定，为了方便解释我做了张图，根据图中数字标识，逐个解释，最终能够了解到main函数是如何找到NSLog地址并跳转的。

符号动态绑定.png

1. 源程序被编译器编译成Mach-O二进制，NSLog(@"%@", @"hello world"); 被翻译成 jmp _NSLog ;[0x100003038]
2. 在Section(DATA, __la_symbol_ptr)段，是一张符号和具体地址之间的索引表，表的每一项都指向Section(Text, __stub_helper)一段代码, 该段代码都将跳转到 dyld dyld_stub_binder方法，这个方法返回NSLog的实际实现；
3. dyld_stub_binder方法符号跟 dyld 中的具体实现是在启动时绑定，这个后面再讲

Section(DATA, __la_symbol_ptr) 这个段是数据段，可读可写，这点很重要

我们可以在程序运行时改变这个表特定的一项的指向，来改变C函数的实现！
我们可以在程序运行时改变这个表特定的一项的指向，来改变C函数的实现！
我们可以在程序运行时改变这个表特定的一项的指向，来改变C函数的实现！

2. 如何实现

假设我们要替换 NSLog 方法的实现，要实现整个过程，我们还要解决几个问题。

1.Section(DATA, __la_symbol_ptr) 表只是一个指针数组，如何知道哪个是 NSLog？

2. 我们需要使用 NSLog 的字符串来进行索引，如何根据字符串找到相应的符号结构？

我又画了张图...

fishhook原理.png

1. 找到 Section(DATA, __la_symbol_ptr)表在indirect symbols表中的起始位置，indirect symbols表中包含符号在 Symbol Table 中的索引

2. 然后由此位置遍历每一项，记录当前位置 A ，找到的 A 位置的符号在 String Table 索引，然后取出索引处的字符串跟我们需要的函数名比较，如果相等，则 A 就是我们要找的位置。

3. 我们修改 Section(DATA, __la_symbol_ptr) 位置 A 出的指针指向即可。

图中使用到的段简介，深入了解请自行搜索 Mach-O

• Section(DATA, __la_symbol_ptr) 表中是一个指针数组，每个项都指向一段代码；
• Symbol Table 程序内所有符号
• indirect symbols 表包含该 Mach-O 所有动态符号在 Symbol Table 中的索引；其中依赖的动态符号分布在三个段
  • Section(DATA, __la_symbol_ptr) 延时绑定的符号
  • Section(DATA, __nl_symbol_ptr) 启动时绑定的符号，主要是函数符号
  • Section(DATA, got)启动时绑定的符号，但包含的主要是静态变量和汇编符号
• String Table 包含程序内的所有字符串，包含符号名等

附一个具体的 Mach-O 结构图

macho.png

至此，动态修改 C 函数实现的原理部分就介绍完毕了

再啰嗦一句，只有indirect symbols 表包含的符号才可以进行动态修改实现，这个段的符号都是动态链接的外部符号。

因此，所有静态链接的符号都不适用！ 这就是 fishhook不支持本地符号hook的原因

3. fishhook 简介

Facebook的fishhook便是利用了这个特性，具体代码可以自行查看

先看一眼如何使用

static void (* old_nslog)(NSString *format, ...);
void My_NSLog(NSString *format, ...) {
    // 程序会到这里
}

int main(int argc, const char * argv[]) {

    struct rebinding binds[1] = {{
            "NSLog", //需要替换掉的函数名称
            (void *)My_NSLog, //代替的函数指针
            (void **)&old_nslog //保留的原指针
        }};
    
    rebind_symbols(binds, 1);
    
    NSLog(@"%@%@", @"my name is", @"parkin");
    
}

0x03. 参考文档

• fishhook源码
• 巧用符号表 - 探求 fishhook 原理（一）
• Mach-O Programming Topics
• Hook 原理之 fishhook 源码解析