MachScope

Инструмент для анализа нативных бинарных файлов macOS, предоставляющий разбор Mach-O, дизассемблирование ARM64 и отладку процессов. Полностью написан на Swift без внешних зависимостей.

Возможности

Функция	Описание
Разбор Mach-O	Заголовки, сегменты, секции, символы, динамические библиотеки, строки
Кодовые подписи	Права (entitlements), CDHash, информация о подписи, идентификатор команды
Дизассемблирование ARM64	Полный декодер инструкций с аннотациями PAC
Отладка процессов	Подключение, точки останова, память, регистры
Библиотека Swift	Встраивание в собственные проекты
Вывод JSON	Удобный для скриптов формат вывода

Зачем нужен MachScope?

Чистый Swift — Нет зависимостей, легко собрать и встроить
Родной ARM64 — Создан для Apple Silicon, понимает инструкции PAC
Всё в одном — Парсинг + Дизассемблирование + Отладка в одном инструменте
Библиотека + CLI — Используйте отдельно или интегрируйте в свои проекты Swift
Хорошо протестирован — 319+ тестов с всесторонней обработкой ошибок

Быстрый старт

# Сборка
swift build

# Парсинг бинарного файла
swift run machscope parse /bin/ls

# Парсинг приложения macOS
swift run machscope parse /Applications/Calculator.app/Contents/MacOS/Calculator

# Просмотр прав (entitlements)
swift run machscope parse /Applications/Safari.app/Contents/MacOS/Safari --entitlements

# Вывод в JSON
swift run machscope parse /bin/ls --json

Установка

Homebrew

brew install sadopc/tap/machscope

Сборка из исходного кода

git clone https://github.com/sadopc/machscope.git
cd MachScope
swift build -c release

Глобальная установка (опционально)

sudo cp .build/release/machscope /usr/local/bin/

Использование

Команда parse

Анализ структуры Mach-O:

# Базовый анализ
machscope parse /bin/ls

# Полный анализ
machscope parse /bin/ls --all

# Определённые секции
machscope parse /путь/к/бинарному --symbols
machscope parse /путь/к/бинарному --dylibs
machscope parse /путь/к/бинарному --strings
machscope parse /путь/к/бинарному --signatures
machscope parse /путь/к/бинарному --entitlements

# Вывод в JSON для скриптов
machscope parse /bin/ls --json --all > analysis.json

Команда disasm

Дизассемблирование кода ARM64:

# Список функций
machscope disasm /bin/ls --list-functions

# Дизассемблирование с адреса
machscope disasm /bin/ls --address 0x100003f40 --length 50

# Показывать байты инструкций
machscope disasm /bin/ls --show-bytes

Проверка разрешений

Просмотр доступных функций:

machscope check-permissions

Вывод:

Feature               Status      Notes
------------------------------------------------------------
Static Analysis       ✓ Ready     No special permissions needed
Disassembly           ✓ Ready     No special permissions needed
Debugger              ✗ Denied    Missing debugger entitlement

Команда debug

Подключение к запущенным процессам (требуется подпись):

# Сначала подпишите с правом на отладку
codesign --force --sign - --entitlements Resources/MachScope.entitlements .build/debug/machscope

# Включите «Инструменты разработчика» в Системных настройках > Конфиденциальность и безопасность

# Подключиться к процессу
machscope debug <pid>

Использование в качестве библиотеки Swift

Добавьте MachScope в ваш Package.swift:

dependencies: [
    .package(url: "https://github.com/sadopc/machscope.git", from: "1.0.0")
]

Затем используйте в коде:

import MachOKit
import Disassembler

// Парсинг бинарного файла
let binary = try MachOBinary(path: "/bin/ls")
print("CPU: \(binary.header.cpuType)")
print("Segments: \(binary.segments.count)")

// Проверка прав (entitlements)
if let signature = try binary.parseCodeSignature(),
   let entitlements = signature.entitlements {
    for key in entitlements.keys {
        print("\(key): \(entitlements[key] ?? "nil")")
    }
}

// Дизассемблирование
let disasm = ARM64Disassembler(binary: binary)
let result = try disasm.disassembleFunction("_main", from: binary)
for instruction in result.instructions {
    print(disasm.format(instruction))
}

Требования

macOS 14.0 (Sonoma) или новее
Swift 6.0 или новее
ARM64 (Apple Silicon) — поддерживается разбор x86_64, но инструмент работает на ARM64

Документация

Структура проекта

MachScope/
├── Sources/
│   ├── MachOKit/        # Основная библиотека парсинга Mach-O
│   ├── Disassembler/    # Декодер инструкций ARM64
│   ├── DebuggerCore/    # Отладка процессов
│   └── MachScope/       # CLI-приложение
├── Tests/               # Наборы тестов (319+ тестов)
├── Resources/           # Файлы прав для подписи кода
└── docs/                # Документация

Для кого это?

iOS/macOS разработчики — Проверять бинарные файлы, смотреть права перед отправкой в App Store
Исследователи безопасности — Быстрая первичная проверка и анализ бинарных файлов
Студенты — Изучение формата Mach-O на читаемом коде Swift
Создатели инструментов — Встраивание MachOKit в собственные проекты на Swift
Участники CTF — Быстрый анализ бинарных файлов

Сравнение с другими инструментами

Главное преимущество MachScope: библиотека на Swift, которую можно встраивать в собственные инструменты.

Лицензия

Лицензия MIT — подробнее в LICENSE.

Участие в разработке

Приветствуются любые вклады! Пожалуйста, сначала прочитайте Руководство по участию.

# Запустите тесты перед отправкой
swift test

# Отформатируйте код
xcrun swift-format -i -r Sources/ Tests/

Благодарности

Документация Apple по Mach-O
Справочное руководство по архитектуре ARM
Сообщество Swift

Звёздная история

Создано с ❤️ на Swift

MachScope	Swift	✅ Да	✅ Да	✅ Да
otool	C	❌ Нет	❌ Нет	❌ Нет
objdump	C	❌ Нет	❌ Нет	❌ Нет
jtool2	C	❌ Нет	✅ Да	❌ Нет
Hopper	—	❌ Нет	✅ Да	❌ Нет

Популярное

machscope