re-swift

Swift 逆向

何时使用 / 何时不用

• 用：Swift 产物（Mach-O/ELF 含 Swift mangling 特征 $s 前缀，或 __swift5_* 反射段），需要还原符号/协议一致性/闭包结构
• 用：混合产物中区分 Swift 层与 ObjC/C 层（先走 ObjC 路径再进 Swift 层）
• 不用：纯 ObjC（走 [[re-ios]] / [[re-macos]] 的 ObjC 路径）；纯 C/C++（走 [[re-cpp-abi]]）
• 不用：只需普通反编译（[[re-ghidra]] / [[re-ida]] 直接上）

工具准备

swift-demangle（Swift 工具链，mangling 解码）

• macOS: Xcode 自带（xcrun swift-demangle）；Linux: Swift 官方工具链（swift.org 下载 tar 包解压即用，含 swift-demangle）；Windows: Swift 官方工具链
• 验证: echo '$s4main6myFuncyyF' | swift-demangle（macOS 用 xcrun swift-demangle；无参数时读 stdin，输出 $s... ---> main.myFunc() -> ()）
• 批量: llvm-nm sample | swift-demangle；-simplified 出精简名；-expand 出解码树

swiftc / swift（可选，对照编译）

• macOS: Xcode 自带；Linux/Windows: 同上官方工具链（含编译器，可本地编译同版本样本对照符号形态）
• 验证: swift --version

llvm-nm / llvm-objdump（符号与段）

• 安装与验证见 [[re-cpp-abi]] 工具准备；Mach-O 侧额外需要 otool（见 [[re-format-macho]] 工具准备）
• 用途: llvm-nm -m sample 看符号与段归属；otool -l sample | grep swift5 定位反射段

Ghidra / IDA（反编译底座）

• 安装与验证见 [[re-ghidra]] / [[re-ida]]；Swift 符号解码结果用于批量重命名（Ghidra 可脚本化：demangle 输出写回 symbol 表，反编译视图即恢复可读函数名）

操作步骤

按顺序执行，每步产物存档（路径 + sha256，见 [[re-triage]]）。

1. 产物识别：

   strings -a sample | grep -E '^\$s|^_T0|^_\$S' | head
   llvm-nm sample 2>/dev/null | grep -E 'swift_|^\$s' | head   # ELF 用 readelf -s 同效果
   otool -l sample 2>/dev/null | grep -c swift5               # Mach-O 反射段存在性
   

   • $s（Swift 5+）、$S（Swift 4.2）、_T0（Swift 4.0）是三代 mangling 前缀；swift_* 运行时导入（swift_retain / swift_release / swift_allocObject）确认运行时
   • 纯 ObjC 无上述特征 → 转 [[re-ios]] / [[re-macos]]；带 __swift5_* 段但 strip 了符号名 → 仍是 Swift（反射元数据不随 strip 消失，见坑 5）

2. mangling 解码（批量）：

   llvm-nm -m sample | awk '$3 ~ /^\$s/ {print $3}' | swift-demangle | head -20
   # ELF: readelf -s sample | awk '$8 ~ /^\$s/ {print $8}' | swift-demangle
   

   解码内容：模块名/类型/函数签名/泛型参数展开；结果写入符号表供 [[re-ghidra]] / [[re-ida]] 重命名。mangling 结构速览见步骤 3 与 [[layout]]。

3. mangling 结构速览（手读符号）：

   $s 前缀 + 长度前缀标识符 + 类型字母 + 签名
   $s 13ExampleModule 3Foo C 3bar Si y F
      └模块(13字符)   └类型 └类 └方法 └结果 └参数 └函数
   C=类 O=枚举 V=结构体 P=协议；Si=Int SS=String Sq=Optional；y=空元组 ()
   

   编码规则：标识符=十进制长度+ASCII；签名顺序是结果类型在前、参数在后，F 结尾表示函数；签名可带修饰位（async/throws，解码输出中显式出现）；_To 后缀=@objc 桥接 thunk；TE 后缀=distributed thunk。详细规则与官方示例见 [[layout]]/[[examples]]。