machofile

machofile هي وحدة لتحليل ملفات Mach-O الثنائية، مع التركيز على تحليل البرمجيات الخبيثة والهندسة العكسية.

مستوحاة من وحدة pefile الخاصة بـ Ero Carrera، تهدف هذه الوحدة إلى توفير قدرات مماثلة لكن لملفات Mach-O الثنائية بدلاً من ذلك. المواد المرجعية والوثائق المستخدمة لاكتساب المعرفة بتنسيق الملف، والهياكل الأساسية والثوابت، مأخوذة من الموارد المدرجة أدناه.

machofile وحدة مكتفية ذاتيًا. لا توجد للوحدة أي تبعيات؛ وهي مستقلة عن ترتيب البايتات (endianness)؛ وتعمل على macOS وWindows وLinux.

بينما توجد وحدات أخرى لتحليل Mach-O في هذا المجال، فإن الدوافع وراء تطوير هذه الوحدة هي:

• أولاً وقبل كل شيء، كانت هذه بالنسبة لي طريقة رائعة للتعمق وتعلم المزيد عن تنسيق وهياكل Mach-O
• توفير طريقة بسيطة لتحليل ملفات Mach-O للتحليل
• عدم الاعتماد على وحدات خارجية (مثل lief وmacholib وmacho وغيرها)، حيث أن كل شيء يُستخرج مباشرة من الملف وكل ذلك بلغة بايثون خالصة.

أخبرني إذا جرّبتها أو وجدت أخطاء، ولكن أيضًا... كن لطيفًا ;) سيتم تحسين الكود وإضافة المزيد من الميزات.

الميزات الحالية:

• تحليل ترويسة Mach-O (Mach-O Header)
• تحليل أوامر التحميل (Load Commands)
• تحليل مقاطع الملف (File Segments)
• تحليل أوامر Dylib (Dylib Commands)
• تحليل قائمة Dylib (Dylib List)
• استخراج الدوال المستوردة
• استخراج الرموز المُصدَّرة (Exported Symbols)
• التجزئات (Hashes): تجزئة dylib، وتجزئة الاستيراد، وتجزئة التصدير، وتجزئة الاستحقاقات، وsymhash
• حساب إنتروبيا المقاطع
• استخراج نقطة الدخول (Entry Point)
• استخراج UUID
• استخراج معلومات الإصدار
• تحليل معلومات توقيع الكود (Code Signature) الأساسية
• دعم الملفات الثنائية FAT (Universal)
• تفريغ شرائح Mach-O الفردية من الملفات الثنائية FAT (Universal)
• دعم مخرجات JSON (بالصيغتين القابلة للقراءة البشرية والبيانات الخام)

ملاحظة: حتى الآن، تم اختبار هذا مبدئيًا على عينات Mach-O لمعماريات x86 وx86_64 وarm64 وarm64e.

الميزات التالية المزمع تنفيذها (بترتيب عشوائي):

• السلاسل النصية المضمّنة (Embedded strings)
• سمات الملف (File Attributes)
• علامة للمكتبات المشبوهة
• كشف أدوات التعبئة (Packer detection)
• ...

الاستخدام والأمثلة

يمكنك استخدامه إما من سطر الأوامر أو استيراده كوحدة في كود بايثون الخاص بك، واستدعاء كل دالة على حدة لتحليل البنى التي تهتم بها فقط. يمكنك تثبيته مباشرة عبر pip واستخدامه برمجيًا أو من سطر الأوامر، أو استخدامه كبرنامج نصي مستقل.

pip install machofile

إصدار الوحدة

تتوقع الوحدة أن يتم تزويدها إما بمسار ملف أو بمخزن بيانات (data buffer) لتحليله.

import machofile
macho = machofile.UniversalMachO(file_path='/path/to/machobinary')
macho.parse()

إذا كانت بيانات المخزن متاحة بالفعل، يمكن تزويد الوحدة بها مباشرة بالشكل التالي:

import machofile
with open(file_path, 'rb') as f:
    data = f.read()
macho = machofile.UniversalMachO(data=data)
macho.parse()

لاستخدام تفصيلي لواجهة البرمجة (API)، راجع صفحة توثيق API.

نسخة سطر الأوامر

يمكنك أيضًا استخدام machofile مباشرةً كأداة CLI إذا قمت بتثبيته عبر pip، أو كأداة مستقلة عبر python3 machofile.py. جميع الميزات نفسها متاحة كوحدة، وكذلك كأداة سطر أوامر.

% machofile -h
usage: machofile [-h] -f FILE [-j] [--raw] [-a] [-d] [-e] [-ep] [-g]
                    [-hdr] [-i] [-l] [-seg] [-sig] [-sim] [-u] [-v]
                    [--arch ARCH] [--dump-dir DUMP_DIR]

Parse Mach-O binary structures. (version 2026.02.04)

options:
  -h, --help          show this help message and exit

required arguments:
  -f, --file FILE     Path to the file to be parsed

output format options:
  -j, --json          Output data in JSON format
  --raw               Output raw values in JSON format (use with -j/--json)

data extraction options:
  -a, --all           Print all info about the file
  -d, --dylib         Print Dylib Command Table and Dylib list
  -e, --exports       Print exported symbols
  -ep, --entry-point  Print entry point information
  -g, --general_info  Print general info about the file
  -hdr, --header      Print Mach-O header info
  -i, --imports       Print imported symbols
  -l, --load_cmd_t    Print Load Command Table and Command list
  -seg, --segments    Print File Segments info
  -sig, --signature   Print code signature and entitlements information
  -sim, --similarity  Print similarity hashes
  -u, --uuid          Print UUID
  -v, --version       Print version information

filter options:
  --arch ARCH         Show info for specific architecture only (for Universal binaries)

dump options:
  --dump-dir DUMP_DIR Dump individual Mach-O slices from a FAT/Universal binary
                      to the specified directory

مثال على المخرجات:

% machofile -a -f b4f68a58658ceceb368520dafc35b270272ac27b8890d5b3ff0b968170471e2b

[General File Info]
        Filename:         b4f68a58658ceceb368520dafc35b270272ac27b8890d5b3ff0b968170471e2b
        Filesize:         54240
        MD5:              20ffe440e4f557b9e03855b5da2b3c9c
        SHA1:             1bf61ecad8568a774f9fba726a254a9603d09f33
        SHA256:           b4f68a58658ceceb368520dafc35b270272ac27b8890d5b3ff0b968170471e2b

[Mach-O Header]
        magic:            MH_MAGIC (32-bit), 0xFEEDFACE
        cputype:          Intel i386
        cpusubtype:       X86_ALL
        filetype:         EXECUTE
        ncmds:            13
        sizeofcmds:       1180
        flags:            NOUNDEFS, DYLDLINK, TWOLEVEL

[Load Cmd table]
        {'cmd': 'LC_SEGMENT', 'cmdsize': 56}
        {'cmd': 'LC_SEGMENT', 'cmdsize': 192}
        {'cmd': 'LC_SEGMENT', 'cmdsize': 328}
        {'cmd': 'LC_SEGMENT', 'cmdsize': 192}
        {'cmd': 'LC_SEGMENT', 'cmdsize': 56}
        {'cmd': 'LC_SYMTAB', 'cmdsize': 24}
        {'cmd': 'LC_DYSYMTAB', 'cmdsize': 80}
        {'cmd': 'LC_LOAD_DYLINKER', 'cmdsize': 28}
        {'cmd': 'LC_UUID', 'cmdsize': 24}
        {'cmd': 'LC_UNIXTHREAD', 'cmdsize': 80}
        {'cmd': 'LC_LOAD_DYLIB', 'cmdsize': 52}
        {'cmd': 'LC_LOAD_DYLIB', 'cmdsize': 52}
        {'cmd': 'LC_CODE_SIGNATURE', 'cmdsize': 16}

[Load Commands]
        LC_CODE_SIGNATURE
        LC_DYSYMTAB
        LC_LOAD_DYLIB
        LC_LOAD_DYLINKER
        LC_SEGMENT
        LC_SYMTAB
        LC_UNIXTHREAD
        LC_UUID

[File Segments]
        SEGNAME    VADDR VSIZE OFFSET SIZE  MAX_VM_PROTECTION INITIAL_VM_PROTECTION NSECTS FLAGS ENTROPY            
        ------------------------------------------------------------------------------------------------------------
        __PAGEZERO 0     4096  0      0     0                 0                     0      0     0.0                
        __TEXT     4096  28672 0      28672 7                 5                     2      0     5.080680410706916  
        __DATA     32768 4096  28672  4096  7                 3                     4      0     0.1261649636134924 
        __IMPORT   36864 4096  32768  4096  7                 7                     2      0     0.21493796627555234
        __LINKEDIT 40960 20480 36864  17376 7                 1                     0      0     6.637864516225949  

[Dylib Commands]
        DYLIB_NAME_OFFSET DYLIB_TIMESTAMP DYLIB_CURRENT_VERSION DYLIB_COMPAT_VERSION DYLIB_NAME                   
        ----------------------------------------------------------------------------------------------------------
        24                2               65536                 65536                b'/usr/lib/libgcc_s.1.dylib' 
        24                2               7274759               65536                b'/usr/lib/libSystem.B.dylib'

[Dylib Names]
        b'/usr/lib/libgcc_s.1.dylib'
        b'/usr/lib/libSystem.B.dylib'

[UUID]
        d691c242-da49-1081-50d5-4f8991924b06

[Entry Point]
        type:             LC_UNIXTHREAD
        entry_address:    9200
        thread_data_size: 72

[Version Information]
        No version information found