macOS 应用逆向

何时使用 / 何时不用

• 用：macOS 原生/闭源应用（.app/.dylib/.framework）、带签名公证与沙箱的目标、钥匙串/Secure Enclave 硬件密钥场景
• 用：授权/分发状态判定——签名者、公证、hardened runtime、Team ID 是谁（分发面/信任面分析）
• 用：信任链问题——Dylib Hijacking、注入面、TCC 依赖（哪些隐私能力被请求/使用）
• 不用：iOS 应用（转 [[re-ios]]）；纯 Mach-O 格式解析（转 [[re-format-macho]]）
• 不用：Linux/Windows 目标（各走 [[re-gdb]] / [[re-x64dbg]]）
• 不用：只想抓网络流量/文件行为（无 macOS 特有面时走 [[re-behavior]] / [[re-netcap]] 通用路径）
• 注意：TCC 与钥匙串数据属系统隐私范畴，只读分析不导出内容（红线）

工具准备

codesign / spctl / otool / lipo（签名与 Mach-O 工具，macOS 内置）

• macOS: 系统自带（Xcode 命令行工具 xcode-select --install）
• Linux: 可静态分析 Mach-O（llvm-otool，brew install llvm 或发行版 llvm 包），签名解析受限
• 验证: codesign --version、macOS: otool --version；Linux: llvm-otool --version