【アプリ保護にも応用可能】C言語のラッパー関数をラップ対象APIの代わりに呼び出す方法（iOS）

int PutsWrapper(const char *sz)
{
    printf("I am a puts wrapper.\n"); //処理追加
    return puts(sz);
}

pthread_t PthreadCreateWrapper(void *(*fn)(void *)) { //1引数に簡略化
    pthread_t thread;
    pthread_create(&thread, NULL, fn, NULL);          //本来は4引数
    return thread;
}

#define MallocWrapper(iSize)    _MallocWrapper(iSize, __FUNCTION__)
void *_MallocWrapper(size_t iSize, char *szCaller)
{
    void *pRet = malloc(iSize);
    if (!pRet) {
        printf("ERROR: %s: malloc failed.\n", szCaller);
        return NULL;
    }

    return pRet;
}

void *_MallocWrapper(size_t iSize, const char *szCaller)    //_MallocWrapperの定義
{ ... }
#define malloc(iSize)   _MallocWrapper(iSize, __FUNCTION__) //mallocの呼び出しを_MallocWrapperの呼び出しに置換

int puts(const char *sz)
{
    int (*fn)(const char *) = dlsym(RTLD_NEXT, "puts"); //「本物の」putsのシンボルを解決
    if (fn) {
        fn("I am a puts wrapper."); //処理追加
        return fn(sz);
    }
    return EOF;
}

void CheckAPI_StaticLibrary(char *sz)
{
    puts("CheckAPI_StaticLibrary");
    puts(sz);
}

int main(int argc, char * argv[])
{
    NSString * appDelegateClassName;
    @autoreleasepool {
        // Setup code that might create autoreleased objects goes here.
        appDelegateClassName = NSStringFromClass([AppDelegate class]);
    }

    // 動作確認
    puts("Check: puts");
    CheckAPI_StaticLibrary("Check: CheckAPI_StaticLibrary (static library)");

    return UIApplicationMain(argc, argv, nil, appDelegateClassName);
}

int puts(const char *sz)
{
    unsigned char szEncryptedPuts[] = {...}; //暗号化された"puts"
    int (*fn)(const char *) = dlsym(RTLD_NEXT, MyDecrypt(szEncryptedPuts)); //"puts"を復号して「本物の」putsのシンボルを解決
    if (fn) {
        return fn(sz);
    }
    return EOF;
}

int PutsWrapper(const char *sz)
{
    int (*fn)(const char *) = dlsym(RTLD_NEXT, "puts"); //「本物の」putsのシンボルを解決
    if (fn) {
        fn("I am a puts wrapper."); //処理追加
        return fn(sz);
    }
    return EOF;
}

#define GetAddr(p, iOffset)   (void *)(((uint64_t)p) + iOffset)
void HookAPI(void *fnTarAPI, void *fnWrapper)
{
    bool bCtrl = false;
    const struct mach_header_64 *pMHApp = NULL;
    const struct section_64 *pSecLASymPtr = NULL;
    
    Dl_info dlInfo;
    if (dladdr(HookAPI, &dlInfo)) {
        //アプリ自身のイメージについて、情報取得に成功
        pMHApp = (struct mach_header_64 *)(dlInfo.dli_fbase);  //アプリ自身のイメージベースを取得
        //アプリ自身の__la_symbol_ptrセクションの情報を取得
        pSecLASymPtr = getsectbyname("__DATA", "__la_symbol_ptr");
        if (pSecLASymPtr) {
            bCtrl = true;
        } else {
            puts("__la_symbol_ptr section not found");
        }
    }
    
    if (bCtrl) {
        bCtrl = false;
        //アプリ自身の__TEXTセグメントの情報を取得
        const struct segment_command_64 *pSCTEXT = getsegbyname("__TEXT");
        
        //__la_symbol_ptrセクションの開始・終了アドレスを取得
        uint64_t iLASymPtrStart  = (uint64_t)GetAddr(pMHApp, pSecLASymPtr->addr - pSCTEXT->vmaddr);
        uint64_t iLASymPtrEnd    = iLASymPtrStart + pSecLASymPtr->size;
        
        //__la_symbol_ptrセクション内でラップ対象APIのアドレスを探索
        for (uint64_t *piEntry = (uint64_t *)iLASymPtrStart; (uint64_t)piEntry < iLASymPtrEnd; piEntry++) {
            if (*piEntry == (uint64_t)fnTarAPI) {
                //ラップ対象APIのアドレスを発見したので、ラッパー関数のアドレスに書き換える
                *piEntry = (uint64_t)fnWrapper;
                break;
            }
        }
    }
}

int main(int argc, char * argv[])
{
    NSString * appDelegateClassName;
    @autoreleasepool {
        // Setup code that might create autoreleased objects goes here.
        appDelegateClassName = NSStringFromClass([AppDelegate class]);
    }

    // 動作確認
    HookAPI(puts, PutsWrapper);
    puts("Check: puts");
    CheckAPI_StaticLibrary("Check: CheckAPI_StaticLibrary (static library)");

    return UIApplicationMain(argc, argv, nil, appDelegateClassName);
}

int PutsWrapper(const char *sz)
{
    int (*fn)(const char *) = dlsym(RTLD_NEXT, "puts"); //「本物の」putsのシンボルを解決
    if (fn) {
        ImportantFunc();    //重要な処理追加
        return fn(sz);
    }
    return EOF;
}

void Func()
{
    puts("Func");  //静的解析攻撃者の目線では単なるAPI呼び出しだが、実際には重要な処理を実行
    //:
}