Back to Details

macos-reverse

Compare original and translation side by side

🇺🇸

Original

English
🇨🇳

Translation

Chinese

macOS / Mach-O Reverse Engineering

macOS / Mach-O Reverse Engineering

ACTION REQUIRED（读完后立刻执行）

ACTION REQUIRED（读完后立即执行）

  1. NOW
    : 读取 
    ../field-journal/precedent-reverse.md
  2. NOW
    : 确认目标为 macOS/Mach-O/App bundle（iOS IPA → 
    mobile-reverse/
    ）
  3. NEXT
    : tool-index；jtool2/lldb 等
  4. ACT
    : 签名与装载信息 → 静态 → 动态（lldb/Frida）
  1. NOW
    : 读取 
    ../field-journal/precedent-reverse.md
  2. NOW
    : 确认目标为 macOS/Mach-O/App bundle（iOS IPA → 
    mobile-reverse/
    ）
  3. NEXT
    : tool-index；jtool2/lldb 等
  4. ACT
    : 签名与装载信息 → 静态 → 动态（lldb/Frida）

适用场景

适用场景

  • Mach-O 可执行文件 / dylib / framework
  • .app bundle、LaunchAgent/Daemon
  • Objective-C / Swift 符号与 runtime
  • 公证/签名、Hardened Runtime、TCC 相关行为分析
  • macOS 恶意软件静态/动态分析（联合 malware-analysis）
  • Mach-O 可执行文件 / dylib / framework
  • .app bundle、LaunchAgent/Daemon
  • Objective-C / Swift 符号与 runtime
  • 公证/签名、Hardened Runtime、TCC 相关行为分析
  • macOS 恶意软件静态/动态分析（联合 malware-analysis）

工作流

工作流

1. 包体与签名

1. 包体与签名

bash
file target
codesign -dv --verbose=4 target
spctl -a -vv target 2>&1
otool -L target
bash
file target
codesign -dv --verbose=4 target
spctl -a -vv target 2>&1
otool -L target

2. 静态

2. 静态分析

text
□ class-dump / swift-demangle / Hopper / Ghidra / IDA
□ 字符串与 XPC 服务名、TCC 敏感 API
□ LC_LOAD_dylib 依赖与 rpath
text
□ class-dump / swift-demangle / Hopper / Ghidra / IDA
□ 字符串与 XPC 服务名、TCC 敏感 API
□ LC_LOAD_dylib 依赖与 rpath

3. 动态

3. 动态分析

text
□ lldb / Frida
□ fs_usage / log stream 观察
□ 网络：联合 protocol-reverse 或代理
text
□ lldb / Frida
□ fs_usage / log stream 观察
□ 网络：联合 protocol-reverse 或代理

工具链

工具链

工具用途
otool / nm / codesign系统自带
Hopper / Ghidra / IDA反编译
class-dump / dsdumpObjC
Frida / lldb动态
jtool2Mach-O
工具用途
otool / nm / codesign系统自带工具
Hopper / Ghidra / IDA反编译工具
class-dump / dsdumpObjC 分析工具
Frida / lldb动态调试工具
jtool2Mach-O 分析工具

参考

参考

  • references/macho-triage.md
  • ../mobile-reverse/
    （iOS） 
    ../ghidra-reverse/
    ../malware-analysis/
  • references/macho-triage.md
  • ../mobile-reverse/
    （iOS） 
    ../ghidra-reverse/
    ../malware-analysis/

路由上下文

路由上下文

上游: MASTER R31
下游: iOS → mobile-reverse；通用样本 → malware-analysis
上游: MASTER R31
下游: iOS → mobile-reverse；通用样本 → malware-analysis

任务完成自检

任务完成自检

  • 是否记录签名/Hardened Runtime 状态？
  • 是否有地址级/符号级结论？
  • Checklist？
  • 是否记录签名/Hardened Runtime 状态？
  • 是否有地址级/符号级结论？
  • 是否完成检查清单？