1. Mach-O文件中的__objc_catlist节初探在逆向工程和Objective-C运行时分析中Mach-O文件的__DATA.__objc_catlist节是一个关键但常被忽视的数据结构。这个节区存储了Objective-C分类Category的元信息是连接编译时和运行时的重要纽带。不同于__objc_classlist节存储的类定义__objc_catlist专门记录那些扩展已有类的分类实现。我第一次注意到这个节区是在分析一个大型iOS应用时。当时遇到一个奇怪的现象某些类方法明明没有在头文件中声明却能在运行时被调用。通过Mach-OView工具查看可执行文件后在__DATA段发现了这个神秘的__objc_catlist节里面包含了所有隐形方法的来源——分类。2. __objc_catlist的结构解析2.1 节区基础布局在Mach-O文件中__objc_catlist位于__DATA段有时在__DATA_CONST段是一个指针数组。每个指针指向一个struct category_t结构体这个结构体在objc-runtime-new.h中有定义struct category_t { const char *name; // 分类名称 classref_t cls; // 扩展的目标类 struct method_list_t *instanceMethods; struct method_list_t *classMethods; struct protocol_list_t *protocols; struct property_list_t *instanceProperties; };这个结构体完整描述了一个分类的所有元素它扩展了哪个类cls、添加了哪些实例方法instanceMethods、类方法classMethods、遵循的协议protocols以及属性instanceProperties。2.2 与__objc_classlist的差异虽然__objc_classlist和__objc_catlist都涉及Objective-C类系统但两者有本质区别特性__objc_classlist__objc_catlist存储内容类定义类扩展是否影响isa指针是否方法加载时机程序启动时可能延迟加载元数据位置类对象/元类对象附加到原类的方法列表对继承体系的影响创建新的继承关系不改变继承关系这种设计使得分类可以在不修改原始类的情况下扩展功能符合开闭原则。3. 运行时如何处理__objc_catlist3.1 加载过程详解当dyld加载Mach-O文件时__objc_catlist的处理流程如下定位节区dyld通过Mach-O的load commands找到__DATA.__objc_catlist的位置遍历分类读取指针数组获取每个category_t结构体的地址注册分类调用runtime的_objc_load_categories()函数方法附加将分类中的方法添加到类的method lists中关键点在于第4步——分类方法不会替换原类方法而是插入到方法列表前端。这就是为什么当分类和原类有同名方法时分类方法会覆盖原方法实际是运行时先找到分类方法。3.2 延迟加载机制某些情况下分类不会立即加载动态库中的分类可能在库首次被调用时才加载通过dlopen()加载的bundle中的分类使用load方法控制加载时机的分类这解释了为什么有时在程序启动时断点监控不到某些分类的加载。4. 实战从Mach-O中提取分类信息4.1 使用otool分析命令行工具otool可以快速查看__objc_catlist内容otool -s __DATA __objc_catlist YourBinary otool -v -s __DATA __objc_catlist YourBinary第一行命令显示原始数据第二行添加符号化输出。对于每个分类指针可以进一步用otool查看对应的category_t结构体。4.2 使用MachOView可视化图形化工具MachOView更直观打开Mach-O文件导航到__DATA - __objc_catlist点击每个指针查看category_t详情通过name指针可以找到分类的文本名称4.3 自定义解析脚本对于自动化分析可以用Python的macholib库from macholib.MachO import MachO def parse_categories(macho_path): macho MachO(macho_path) for header in macho.headers: if __DATA in header: for segname, sectname, section in header.get_sections(): if sectname __objc_catlist: # 解析分类指针数组...5. 分类加载的常见问题与调试技巧5.1 分类未生效的排查步骤当发现分类方法没有被调用时确认Mach-O中是否存在__objc_catlist节检查分类是否被编译进最终二进制有时会被优化掉使用objc_getClassList和class_copyMethodList验证运行时状态设置环境变量OBJC_PRINT_LOAD_METHODSYES查看加载日志5.2 符号冲突处理多个分类定义同名方法时行为取决于加载顺序。可以通过以下方式控制__attribute__((constructor)) static void beforeMain() { // 强制提前加载特定分类 }5.3 性能考量大量分类会导致启动时间延长需要处理更多方法附加方法查找变慢线性扫描更长的方法列表内存占用增加每个分类都有元数据建议使用__attribute__((objc_direct_members))优化性能关键路径。6. 高级应用场景6.1 逆向工程中的分类分析通过解析__objc_catlist可以发现未公开的类扩展定位第三方库的功能注入点分析恶意代码的hook位置6.2 动态修改分类运行时可以// 获取原始分类 struct category_t *cat (__bridge struct category_t *)cat_ptr; // 替换方法实现 method_setImplementation(cat-instanceMethods-first, newImp);6.3 跨平台注意事项在macOS和iOS上行为基本一致但要注意模拟器环境有时会优化掉未使用的分类不同iOS版本对分类的加载策略可能有差异arm64和arm64e架构的指针认证影响分类指针访问7. 从编译器角度看分类处理Clang处理分类的关键步骤语法分析阶段识别interface ClassName (CategoryName)语法生成对应的category_t结构体实例将实例地址放入__objc_catlist节为分类方法生成独立的method_list_t可以通过以下编译命令查看中间结果clang -emit-llvm -S YourFile.m8. 与其他语言特性的交互8.1 与Swift扩展的对比Swift的extension在二进制层面也会生成类似分类的结构但Swift扩展更类型安全不支持方法覆盖不会出现在__objc_catlist中除非标记objc8.2 与C的混用问题当Objective-C中分类扩展的类有C成员时分类不能添加ivar分类方法不能直接访问C私有成员模板类难以被分类扩展9. 优化建议与最佳实践命名规范为分类添加前缀避免符号冲突如ABC_前缀功能隔离一个分类只做一个明确的功能扩展懒加载对于不常用的功能可以封装成分类并在需要时动态加载文档记录特别记录那些覆盖原类方法的分类单元测试为分类方法编写独立测试用例在大型项目中我曾经遇到过一个分类意外修改了基类行为的bug。后来我们建立了这样的规范所有分类必须包含测试验证其不会破坏原类契约并且在分类头文件中显式注明所有覆盖的方法。 
长河君 · 2026/8/9 18:18:15 · 阅读 1.2k Mach-O文件__objc_catlist节解析与Objective-C分类机制
1. Mach-O文件中的__objc_catlist节初探在逆向工程和Objective-C运行时分析中Mach-O文件的__DATA.__objc_catlist节是一个关键但常被忽视的数据结构。这个节区存储了Objective-C分类Category的元信息是连接编译时和运行时的重要纽带。不同于__objc_classlist节存储的类定义__objc_catlist专门记录那些扩展已有类的分类实现。我第一次注意到这个节区是在分析一个大型iOS应用时。当时遇到一个奇怪的现象某些类方法明明没有在头文件中声明却能在运行时被调用。通过Mach-OView工具查看可执行文件后在__DATA段发现了这个神秘的__objc_catlist节里面包含了所有隐形方法的来源——分类。2. __objc_catlist的结构解析2.1 节区基础布局在Mach-O文件中__objc_catlist位于__DATA段有时在__DATA_CONST段是一个指针数组。每个指针指向一个struct category_t结构体这个结构体在objc-runtime-new.h中有定义struct category_t { const char *name; // 分类名称 classref_t cls; // 扩展的目标类 struct method_list_t *instanceMethods; struct method_list_t *classMethods; struct protocol_list_t *protocols; struct property_list_t *instanceProperties; };这个结构体完整描述了一个分类的所有元素它扩展了哪个类cls、添加了哪些实例方法instanceMethods、类方法classMethods、遵循的协议protocols以及属性instanceProperties。2.2 与__objc_classlist的差异虽然__objc_classlist和__objc_catlist都涉及Objective-C类系统但两者有本质区别特性__objc_classlist__objc_catlist存储内容类定义类扩展是否影响isa指针是否方法加载时机程序启动时可能延迟加载元数据位置类对象/元类对象附加到原类的方法列表对继承体系的影响创建新的继承关系不改变继承关系这种设计使得分类可以在不修改原始类的情况下扩展功能符合开闭原则。3. 运行时如何处理__objc_catlist3.1 加载过程详解当dyld加载Mach-O文件时__objc_catlist的处理流程如下定位节区dyld通过Mach-O的load commands找到__DATA.__objc_catlist的位置遍历分类读取指针数组获取每个category_t结构体的地址注册分类调用runtime的_objc_load_categories()函数方法附加将分类中的方法添加到类的method lists中关键点在于第4步——分类方法不会替换原类方法而是插入到方法列表前端。这就是为什么当分类和原类有同名方法时分类方法会覆盖原方法实际是运行时先找到分类方法。3.2 延迟加载机制某些情况下分类不会立即加载动态库中的分类可能在库首次被调用时才加载通过dlopen()加载的bundle中的分类使用load方法控制加载时机的分类这解释了为什么有时在程序启动时断点监控不到某些分类的加载。4. 实战从Mach-O中提取分类信息4.1 使用otool分析命令行工具otool可以快速查看__objc_catlist内容otool -s __DATA __objc_catlist YourBinary otool -v -s __DATA __objc_catlist YourBinary第一行命令显示原始数据第二行添加符号化输出。对于每个分类指针可以进一步用otool查看对应的category_t结构体。4.2 使用MachOView可视化图形化工具MachOView更直观打开Mach-O文件导航到__DATA - __objc_catlist点击每个指针查看category_t详情通过name指针可以找到分类的文本名称4.3 自定义解析脚本对于自动化分析可以用Python的macholib库from macholib.MachO import MachO def parse_categories(macho_path): macho MachO(macho_path) for header in macho.headers: if __DATA in header: for segname, sectname, section in header.get_sections(): if sectname __objc_catlist: # 解析分类指针数组...5. 分类加载的常见问题与调试技巧5.1 分类未生效的排查步骤当发现分类方法没有被调用时确认Mach-O中是否存在__objc_catlist节检查分类是否被编译进最终二进制有时会被优化掉使用objc_getClassList和class_copyMethodList验证运行时状态设置环境变量OBJC_PRINT_LOAD_METHODSYES查看加载日志5.2 符号冲突处理多个分类定义同名方法时行为取决于加载顺序。可以通过以下方式控制__attribute__((constructor)) static void beforeMain() { // 强制提前加载特定分类 }5.3 性能考量大量分类会导致启动时间延长需要处理更多方法附加方法查找变慢线性扫描更长的方法列表内存占用增加每个分类都有元数据建议使用__attribute__((objc_direct_members))优化性能关键路径。6. 高级应用场景6.1 逆向工程中的分类分析通过解析__objc_catlist可以发现未公开的类扩展定位第三方库的功能注入点分析恶意代码的hook位置6.2 动态修改分类运行时可以// 获取原始分类 struct category_t *cat (__bridge struct category_t *)cat_ptr; // 替换方法实现 method_setImplementation(cat-instanceMethods-first, newImp);6.3 跨平台注意事项在macOS和iOS上行为基本一致但要注意模拟器环境有时会优化掉未使用的分类不同iOS版本对分类的加载策略可能有差异arm64和arm64e架构的指针认证影响分类指针访问7. 从编译器角度看分类处理Clang处理分类的关键步骤语法分析阶段识别interface ClassName (CategoryName)语法生成对应的category_t结构体实例将实例地址放入__objc_catlist节为分类方法生成独立的method_list_t可以通过以下编译命令查看中间结果clang -emit-llvm -S YourFile.m8. 与其他语言特性的交互8.1 与Swift扩展的对比Swift的extension在二进制层面也会生成类似分类的结构但Swift扩展更类型安全不支持方法覆盖不会出现在__objc_catlist中除非标记objc8.2 与C的混用问题当Objective-C中分类扩展的类有C成员时分类不能添加ivar分类方法不能直接访问C私有成员模板类难以被分类扩展9. 优化建议与最佳实践命名规范为分类添加前缀避免符号冲突如ABC_前缀功能隔离一个分类只做一个明确的功能扩展懒加载对于不常用的功能可以封装成分类并在需要时动态加载文档记录特别记录那些覆盖原类方法的分类单元测试为分类方法编写独立测试用例在大型项目中我曾经遇到过一个分类意外修改了基类行为的bug。后来我们建立了这样的规范所有分类必须包含测试验证其不会破坏原类契约并且在分类头文件中显式注明所有覆盖的方法。