跳到主要内容
知知仓学习社ZHICANG

macos-reverse

Authorized macOS and Mach-O reverse engineering: codesign inspection, Objective-C/Swift recovery, endpoint-security surfaces, and Apple-platform mal…

不碰外部（只输出文字）无严重或高危命中sickn33/agentic-awesome-skills

它会碰到什么

扫了多少2 个文本文件，2 KB
它会碰到什么不碰外部（只输出文字）
命中总数0 处
命中统计严重 0 · 高 0 · 中 0 · 低 0

这一栏是扫描器报的事实，不是结论。命中多不等于有毒（安全工具、规则库、示例脚本本来就会包含危险写法），命中少也不等于干净。它和你手上的凭据、文件、网络有什么关系，需要你自己看。

技能内容

macOS / Mach-O Reverse Engineering

When to Use

  • Analyzing macOS binaries or suspected malware samples.
  • Inspecting entitlements, signatures, and ObjC/Swift structures.

适用场景

  • Mach-O 可执行文件 / dylib / framework
  • .app bundle、LaunchAgent/Daemon
  • Objective-C / Swift 符号与 runtime
  • 公证/签名、Hardened Runtime、TCC 相关行为分析
  • macOS 恶意软件静态/动态分析（联合 malware-analysis）

工作流

1. 包体与签名

file target
codesign -dv --verbose=4 target
spctl -a -vv target 2>&1
otool -L target

2. 静态

□ class-dump / swift-demangle / Hopper / Ghidra / IDA
□ 字符串与 XPC 服务名、TCC 敏感 API
□ LC_LOAD_dylib 依赖与 rpath

3. 动态

□ lldb / Frida
□ fs_usage / log stream 观察
□ 网络：联合 protocol-reverse 或代理

工具链

| 工具 | 用途 |

|------|------|

| otool / nm / codesign | 系统自带 |

| Hopper / Ghidra / IDA | 反编译 |

| class-dump / dsdump | ObjC |

| Frida / lldb | 动态 |

| jtool2 | Mach-O |

参考

  • references/macho-triage.md
  • ../mobile-reverse/（iOS） ../ghidra-reverse/ ../malware-analysis/

路由上下文

上游: MASTER R31

下游: iOS → mobile-reverse；通用样本 → malware-analysis

任务完成自检

  • [ ] 是否记录签名/Hardened Runtime 状态？
  • [ ] 是否有地址级/符号级结论？
  • [ ] Checklist？

Limitations

  • Apple Silicon and hardened runtime add unpacking complexity.
  • Some analysis requires disabling SIP in a dedicated lab VM.

> Adapted from zhaoxuya520/reverse-skill (MIT).

想直接用这个技能？

本站把开放许可（MIT / Apache 等）的技能按仓库打包整理到网盘，点一下转存到你自己的网盘，不用一个个从 GitHub 拉。许可未声明的技能只给原始仓库链接，不打包。

去原始仓库

它属于哪个仓库

仓库sickn33/agentic-awesome-skills
星标★ 46,490
本站分层T1
该仓技能数6676
原文件路径skills/macos-reverse/SKILL.md

同一个仓库里的其他技能

看这个仓库的全部 6676 个技能

同名技能的其他版本

有 3 个不同仓库或目录里都有叫 macos-reverse 的技能。它们内容并不相同，别混用：