Mach-O Executable
| Format | Mach-O Executable |
|---|---|
| Kurzname | Mach-O |
| Kategorie | execution |
| Plattformen | macOS, iOS |
| Crush Unterstützung | Noch nicht unterstützt |
| Status | Überprüft |
| Zuletzt überprüft | 2026-10-04 |
Forensische Relevanz
Natives Format für ausführbare Dateien, Bibliotheken und Objektdateien unter iOS und macOS. App-Binaries lassen sich auf fest codierte Strings, URLs, API-Endpunkte, kryptografische Schlüssel und eingebettete Zugangsdaten untersuchen. Entitlements (XML, eingebettet über LC_CODE_SIGNATURE) legen Sandbox-Fähigkeiten und Berechtigungen der App fest. Das ist relevant, um Apps mit zu weitreichenden Berechtigungen oder Jailbreak-Bypass-Versuche zu erkennen. Code-Signaturen verknüpfen das Binary mit einer Entwickleridentität und machen Manipulationen erkennbar. Fat/Universal Binaries enthalten mehrere Architektur-Slices (z. B. arm64 + x86_64) in einer Datei, mit vorangestelltem fat_header mit der Magic 0xCAFEBABE. Das ist dieselbe Magic wie bei Java-Class-Dateien, daher müssen die folgenden Bytes (Anzahl der Architekturen bzw. Version der Class-Datei) geprüft werden, um beide zu unterscheiden.
Signaturen
| Offset | Hex | ASCII (nicht druckbar als .) | Beschreibung |
|---|---|---|---|
| Offset 0 (0x0) | CF FA ED FE | .... | Mach-O 64-Bit Little-Endian (arm64, x86_64), auf modernen Geräten am häufigsten |
| Offset 0 (0x0) | CE FA ED FE | .... | Mach-O 32-Bit Little-Endian |
| Offset 0 (0x0) | CA FE BA BE | .... | Fat/Universal Binary, enthält mehrere Architektur-Slices (gleiche Magic wie Java-Class-Dateien) |
| Offset 0 (0x0) | FE ED FA CF | .... | Mach-O 64-Bit Big-Endian |
| Offset 0 (0x0) | FE ED FA CE | .... | Mach-O 32-Bit Big-Endian |
Bekannte Dateiendungen
.dylib, .o
Referenzen
- Apple mach-o/loader.h (XNU source — header and load command definitions) https://github.com/apple-oss-distributions/xnu/blob/main/EXTERNAL_HEADERS/mach-o/loader.h
- Apple developer docs — Mach-O format reference (archived) https://developer.apple.com/library/archive/documentation/Performance/Conceptual/CodeFootprint/Articles/MachOOverview.html
- Mach-O ABI reference (GitHub mirror) https://github.com/aidansteele/osx-abi-macho-file-format-reference
- Mach-O format overview (Wikipedia) https://en.wikipedia.org/wiki/Mach-O
- So Macho — a look at Apple executable files (Hexiosec, Scott Lester, 2020) https://hexiosec.com/blog/macho-files/
Diesen Eintrag zitieren
Crush-Format-Referenz, „Mach-O Executable“. https://kalink0.github.io/crush-forensics/formats/de/mach-o/ — Quelle: crush/data/build_formats_db.py zum Commit 640a2a9928f4e36a976b89901512a8dce824d093, erstellt 2026-10-21 06:46:19 UTC.
Eintrag in der Quelldatei bei diesem Commit · Änderungshistorie der Quelle · Korrektur melden