（一）動態綁定的一個示例

（1）鎖定注入點

隨便找一個APP，classdump拿到所有類的結構信息。

比如，“微信”有一個類是這樣聲明的：

 

這個類繼承于UIViewController，也就是有viewDidLoad這個消息處理函數。這里演示把MMUIViewController::viewDidLoad函數給替換掉，讓它執行到新的函數中。

（2）寫注入代碼

先找一個熟悉的編輯器，創建一個文件，命名為hookwx.m，然后在里面添加這樣的代碼：

 

然后是編譯的事。可以直接使用xcode來編譯出來.o文件，也可以用clang來編譯出來.o文件。比如，小程演示時使用的是iphone4手機，也就是armv7指令集，所以可以這樣編譯出obj文件：

clang -c hookwx.m -arch armv7 -isysroot /Applications/Xcode.app/Contents/Developer/Platforms/iPhoneOS.platform/Developer/SDKs/iPhoneOS8.1.sdk

再使用ld來鏈接成動態庫（dylib）：

ld -dylib -lsystem -lobjc  -syslibroot /Applications/Xcode.app/Contents/Developer/Platforms/iPhoneOS.platform/Developer/SDKs/iPhoneOS8.1.sdk/ -o hookwx.dylib hookwx.o -framework Foundation -framework UIKit -ios_version_min 6.0

以上編譯鏈接命令的參數跟小程使用的sdk版本有關，你如果嘗試的話應該選擇對應的參數。

（3）拷貝dylib到DynamicLibraries

scp hookwx.dylib root@192.168.1.100:/Library/MobileSubstrate/DynamicLibraries/

這時，還要創建一個plist，來指定讓哪個APP來加載這個dylib（對于ios8.0以后的系統需要指定哪個APP），具體操作參照上一篇文章--介紹reveal的使用時創建了plist，就是這個操作了。“微信”的bundleID是“com.tencent.xin”或“com.tencent.xin1”，指定讓它加載這個dylib（可指定若干個bundleID）。

記得把plist文件也拷貝到DynamicLibraries目錄中。

（4）驗證效果

啟動“微信”，使用socat觀察log輸出，可以看到：

Dec  2 11:22:05 810 MicroMessenger[974] <Warning>: =======in initialize=================
...
Dec  2 11:24:48 810 MicroMessenger[974] <Warning>: -------------in new_viewDidLoad----------

也就是，“微信”加載了小程寫的dylib，而且也執行到新的函數中。

以上的例子，只是“感性地”知道注入的辦法，而在實際使用場景，更應該借助一些成熟的可以做到注入的框架。

小程較常見的兩個框架，一個叫fishhook，一個叫MobileSubstrate。

fishhook，是facebook的一個開源工具，可以在運行時修改目標函數的地址，讓控制點執行到自己的代碼。因為需要知道目標函數的名字，這對于c運行時庫的函數來說是適用的，或者對于能定位到函數名的情況也是適用的，但對于連名字都拿不到的情況（比如只能定位到代碼地址）就不適用。如果只能拿到函數的地址，那可以考慮用MobileSubstrate的MSHookFunction來做到注入。

MobileSubstrate（也叫CydiaSubstrate，以下簡稱為MS），最大的一個作用，是可以動態綁定新的執行函數，這個功能已經能滿足我們大部分的需求。比如，MS提供的函數MSHookMessageEx，可以用來對oc代碼進行hook，原理上利用了oc的runtime特性（運行時替換執行函數）。

MS提供的函數MSHookFunction，可以用來對c代碼進行hook，比如很多APP在寫文件時都會用到write或fwrite函數，那通過對這兩個函數進行hook，就能看到寫入文件的數據，可以這樣寫代碼：

 

但直接使用MS的函數，并不是本文介紹的重點。從“實用”的角度，小程要介紹的是iOSOpenDev的使用。