MachScope

Ein natives macOS-Binäranalyse-Tool, das Mach-O-Parsing, ARM64-Disassemblierung und Prozess-Debugging bietet. Vollständig in Swift geschrieben, ohne externe Abhängigkeiten.

Funktionen

Funktion	Beschreibung
Mach-O-Parsing	Headers, Segmente, Sections, Symbole, Dylibs, Strings
Codesignaturen	Berechtigungen, CDHash, Signierinformationen, Team-ID
ARM64-Disassemblierung	Vollständiger Instruktionsdecoder mit PAC-Annotation
Prozess-Debugging	Anhängen, Breakpoints, Speicher, Register
Swift-Bibliothek	In eigene Projekte einbettbar
JSON-Ausgabe	Skriptfreundliches Ausgabeformat

Warum MachScope?

Reines Swift – Keine Abhängigkeiten, einfach zu bauen und einzubetten
ARM64-nativ – Für Apple Silicon entwickelt, versteht PAC-Instruktionen
Alles in einem – Parsen + Disassemblieren + Debuggen in einem Werkzeug
Bibliothek + CLI – Eigenständig nutzbar oder in Swift-Projekte integrierbar
Gut getestet – 319+ Tests mit umfassender Fehlerbehandlung

Schnellstart

# Build
swift build

# Parse a binary
swift run machscope parse /bin/ls

# Parse a macOS app
swift run machscope parse /Applications/Calculator.app/Contents/MacOS/Calculator

# View entitlements
swift run machscope parse /Applications/Safari.app/Contents/MacOS/Safari --entitlements

# JSON output
swift run machscope parse /bin/ls --json

Installation

Homebrew

brew install sadopc/tap/machscope

Aus dem Quellcode bauen

git clone https://github.com/sadopc/machscope.git
cd MachScope
swift build -c release

Global installieren (optional)

sudo cp .build/release/machscope /usr/local/bin/

Nutzung

Parse-Befehl

Analysiere die Mach-O-Binärstruktur:

# Basic analysis
machscope parse /bin/ls

# Full analysis
machscope parse /bin/ls --all

# Specific sections
machscope parse /path/to/binary --symbols
machscope parse /path/to/binary --dylibs
machscope parse /path/to/binary --strings
machscope parse /path/to/binary --signatures
machscope parse /path/to/binary --entitlements

# JSON output for scripting
machscope parse /bin/ls --json --all > analysis.json

Disassemble-Befehl

Disassembliere ARM64-Code:

# List functions
machscope disasm /bin/ls --list-functions

# Disassemble from address
machscope disasm /bin/ls --address 0x100003f40 --length 50

# Show instruction bytes
machscope disasm /bin/ls --show-bytes

Berechtigungen prüfen

Sieh nach, welche Funktionen verfügbar sind:

machscope check-permissions

Ausgabe:

Feature               Status      Notes
------------------------------------------------------------
Static Analysis       ✓ Ready     No special permissions needed
Disassembly           ✓ Ready     No special permissions needed
Debugger              ✗ Denied    Missing debugger entitlement

Debug-Befehl

An laufende Prozesse anhängen (erfordert Signierung):

# First, sign with debugger entitlement
codesign --force --sign - --entitlements Resources/MachScope.entitlements .build/debug/machscope

# Enable Developer Tools in System Settings > Privacy & Security

# Attach to process
machscope debug <pid>

Als Swift-Bibliothek nutzen

Füge MachScope zu deiner Package.swift hinzu:

dependencies: [
    .package(url: "https://github.com/sadopc/machscope.git", from: "1.0.0")
]

Dann in deinem Code:

import MachOKit
import Disassembler

// Parse a binary
let binary = try MachOBinary(path: "/bin/ls")
print("CPU: \(binary.header.cpuType)")
print("Segments: \(binary.segments.count)")

// Check entitlements
if let signature = try binary.parseCodeSignature(),
   let entitlements = signature.entitlements {
    for key in entitlements.keys {
        print("\(key): \(entitlements[key] ?? "nil")")
    }
}

// Disassemble
let disasm = ARM64Disassembler(binary: binary)
let result = try disasm.disassembleFunction("_main", from: binary)
for instruction in result.instructions {
    print(disasm.format(instruction))
}

Systemvoraussetzungen

macOS 14.0 (Sonoma) oder neuer
Swift 6.0 oder neuer
ARM64 (Apple Silicon) — x86_64-Parsing wird unterstützt, aber das Tool läuft auf ARM64

Dokumentation

Projektstruktur

MachScope/
├── Sources/
│   ├── MachOKit/        # Core Mach-O parsing library
│   ├── Disassembler/    # ARM64 instruction decoder
│   ├── DebuggerCore/    # Process debugging
│   └── MachScope/       # CLI application
├── Tests/               # Test suites (319+ tests)
├── Resources/           # Entitlements for code signing
└── docs/                # Documentation

Für wen ist das?

iOS/macOS-Entwickler – Binärdateien inspizieren, Berechtigungen vor dem App-Store-Einreichen prüfen
Sicherheitsforscher – Schnelle Binär-Triage und -Analyse
Studierende – Mach-O-Format mit lesbarem Swift-Code lernen
Tool-Entwickler – MachOKit in eigene Swift-Projekte einbetten
CTF-Spieler – Schnelle Binäranalyse

Vergleich mit anderen Werkzeugen

Hauptvorteil von MachScope: Swift-native Bibliothek, die du in deine eigenen Werkzeuge einbetten kannst.

Lizenz

MIT-Lizenz – Siehe LICENSE für Details.

Mitwirken

Beiträge sind willkommen! Bitte lies zuerst den Leitfaden zum Mitwirken.

# Run tests before submitting
swift test

# Format code
xcrun swift-format -i -r Sources/ Tests/

Danksagungen

Apples Mach‑O‑Dokumentation
ARM Architecture Reference Manual
Die Swift-Community

Sternenverlauf

Mit ❤️ in Swift erstellt

MachScope	Swift	✅ Ja	✅ Ja	✅ Ja
otool	C	❌ Nein	❌ Nein	❌ Nein
objdump	C	❌ Nein	❌ Nein	❌ Nein
jtool2	C	❌ Nein	✅ Ja	❌ Nein
Hopper	—	❌ Nein	✅ Ja	❌ Nein

Beliebteste

machscope