macOS / Mach-O Reverse Engineering
AKTION ERFORDERLICH（nach dem Lesen sofort ausführen）
NOW: Lies../field-journal/precedent-reverse.mdNOW: Bestätige das Ziel als macOS/Mach-O/App-Bundle（iOS IPA →mobile-reverse/）NEXT: tool-index；jtool2/lldb etc.ACT: Signatur & Packungsinformation → Statisch → Dynamisch（lldb/Frida）
Anwendungsbereiche
- MachO-Ausführbare Dateien / dylib / framework
- .app-Bundle, LaunchAgent/Daemon
- Objective-C / Swift Symbole und Runtime
- Notarisierung/Signatur, Hardened Runtime, TCC-bezogenes Verhalten
- Statische/dynamische Analyse von macOS-Schadsoftware（in Zusammenarbeit mit malware-analysis）
Arbeitsablauf
1. Paket und Signatur
file target
codesign -dv --verbose=4 target
spctl -a -vv target 2>&1
otool -L target
2. Statische Analyse
□ class-dump / swift-demangle / Hopper / Ghidra / IDA
□ Zeichenketten & XPC-Dienstnamen, TCC-sensitive APIs
□ LC_LOAD_dylib Abhängigkeiten & rpath
3. Dynamische Analyse
□ lldb / Frida
□ fs_usage / log stream Überwachung
□ Netzwerk: In Zusammenarbeit mit protocol-reverse oder Proxy
Werkzeugkette
| Werkzeug | Verwendung |
|---|---|
| otool / nm / codesign | Systemintegriert |
| Hopper / Ghidra / IDA | Decompilierung |
| class-dump / dsdump | ObjC |
| Frida / lldb | Dynamische Analyse |
| jtool2 | Mach-O |
Referenzen
references/macho-triage.md../mobile-reverse/（iOS）../ghidra-reverse/../malware-analysis/
Routing-Kontext
Upstream: MASTER R31
Downstream: iOS → mobile-reverse；Allgemeine Samples → malware-analysis
Aufgabenabschluss-Checkliste
- Wurde der Signatur-/Hardened Runtime-Status dokumentiert?
- Liegen adressgenaue/symbolgenaue Schlussfolgerungen vor?
- Checkliste eingehalten?