iOS开发逆向之循环选择指针（上）
本文的主要目的是理解汇编中全局变量、常量的存储，以及如何将if、while等汇编代码还原成高级代码 全局变量 在这之前首先需要了解内存的分区，对这块不是特别清晰的，建议看看iOS-底层原理：内存五大区，下面进行一个简单的汇总说明 代码区：存放代码，可读、可执行 栈区：存放参数、局部变量、临时数据，可读写 堆区：开发人员动态申请，大小可变，可读写 全局变量：可读可写 常量：只读 案例分析 首先作为一个开发者，有一个学习的氛围跟一个交流圈子特别重要，这是一个我的iOS开发交流群：130595548，不管你是小白还是大牛都欢迎入驻 ，让我们一起进步，共同发展！（群内会免费提供一些群主收藏的免费学习书籍资料以及整理好的几百道面试题和答案文档！） 在main.m中定义一个函数和一个全局变量 intg=12;intfunc(inta,intb){printf("haha");intc=a+g;returnc; }intmain(intargc,char*argv[]){ func(1,2); } func函数断点运行，以下是main函数的汇编代码 查看func的汇编代码，分析如下 查看x0是否为“haha”，通过调试得以验证，x0存的是haha的地址 查看其地址：x 0x000000010098bf9f，属于字符串的常量区（即左边是右边字符串的ASCII码） 其中重点分析adrp x0,1和add x0,x0,#0xf9f两句 adrp指令（address page 按页寻址）： 将1的值左移12位，此时的1是二进制 加上pc寄存器的值（先需要将pc的低12位清零） <!--（按页寻址）--><!--adrp-->0x10098a824<+20>:adrpx0,1 -1）1左移12位：0x1000 -2）pc寄存器低12位清零：0x10098a000 -3）加上pc寄存器的值：0x10098a000+0x1000=0x10098b000 ===>得到x0地址就是某一页数据的起始位置（即首地址）<!--add-->0x10098a828<+24>:addx0,x0,#0xf9f;=0xf9f -adrp得到的地址加上偏移：0x10098b000+0xf9f=0x10098bf9f ===>此时的x0就是某一页中某段代码的地址，即当前代码段的地址 通过这个计算结果可知与上面调试的x0地址是一致的 why？：一个页的大小是4096，而0xFFF为4095，加上1就是0x1000（即4096），所以是1左移12位即可得到一个页的首地址（注：macOS的pageSize是4k（0x1000），而iPhone的pageSize是16k（0x4000），但是16仍是4的倍数，adrp兼容者mac和iPhone，所以此时定位的仍然是一页数据） 继续分析bl printf以下的汇编代码 ldur w8, [x29, #-0x4]：拿出栈中的数据，即1 adrp + add + ldr:拿出0x10098ce98内存地址的数据，将x9的数据给w10。这样就拿到了全局变量g 反汇编分析 示例代码如下 intg=12;intfunc(inta,intb){printf("haha");intc=a+g+b;returnc; }intmain(intargc,char*argv[]){ func(10,20); } 通过hopper来进行反汇编分析 首先将工程编译：CMD+B 进入App的包 将第5步中的可执行文件拖入hopper中进行分析 在hopper中搜索func 拷贝func的汇编代码，将其还原成高级语言代码（即反汇编） <!--1、将汇编初步还原为高级语言代码-->intgl=12;intfunc2(inta,intb){/* //一个函数的开始 0000000100006808subsp,sp,#0x20 000000010000680cstpx29,x30,[sp,#0x10] 0000000100006810addx29,sp,#0x10 */ /* //调用blprintf 0000000100006814sturw0,[x29,#-0x4] 0000000100006818strw1,[sp,#0x8] //===>此时的获取的0x100007f9f地址的数据是没有ASLR的值 000000010000681cadrpx0,#0x100007000 0000000100006820addx0,x0,#0xf9f;"haha" 0000000100006824blimp___stubs__printf */ printf("haha");/* 0000000100006828ldurw8,[x29,#-0x4] */ intw8=a;/* //===>此时的获取0x100008e98的数据 000000010000682cadrpx9,#0x100008000 0000000100006830addx9,x9,#0xe98;_g *///intgl=12;//(需要写外面) /* 0000000100006834ldrw10,x9 */ intw10=gl;/* 0000000100006838addw8,w8,w10 */ w8+=w10;/* 000000010000683cldrw10,[sp,#0x8] */ w10=b;/* 0000000100006840addw8,w8,w10 */ w8+=w10;/* 0000000100006844strw8,[sp,#0x4] 0000000100006848ldrw8,[sp,#0x4] 000000010000684cmovx0,x8 */ returnw8;/* //一个函数的结束 0000000100006850ldpx29,x30,[sp,#0x10] 0000000100006854addsp,sp,#0x20 0000000100006858ret */} <!--2、去掉汇编-->intgl=12;intfunc2(inta,intb){printf("haha");intw8=a;intw10=gl; w8+=w10; w10=b; w8+=w10;returnw8; } <!--3、简化代码-->intgl=12;intfunc2(inta,intb){printf("haha");returna+b+gl; } 简化过程如下图所示（注：是从下向上还原，而不是从上向下（业务逻辑是从上至下执行）： 其中 //===>此时的获取的0x100007f9f地址的数据是没有ASLR的值 000000010000681cadrpx0,#0x100007000 0000000100006820addx0,x0,#0xf9f hopper中按G，查找0x100007f9f对应的数据 同理，获取全局变量g也是同样的原理 //===>此时的获取0x100008e98的数据000000010000682cadrpx9,#0x1000080000000000100006830addx9,x9,#0xe98;_g0000000100006834ldrw10,x9 首先作为一个开发者，有一个学习的氛围跟一个交流圈子特别重要，这是一个我的iOS开发交流群：130595548，不管你是小白还是大牛都欢迎入驻 ，让我们一起进步，共同发展！（群内会免费提供一些群主收藏的免费学习书籍资料以及整理好的几百道面试题和答案文档！） 总结 获取全局变量和常量时，会出现adrp和add两条指令获得一个地址的情况 ADRP（Address Page） 将PC寄存器的低12位清零 将1的值，左移12位，16进制就是0x1000 以上两个结果相加放入x0寄存器 adrp x0，1 通过ADD指令获取这页内存中的偏移值 条件 有如下代码，查看其汇编 intg=12;voidfunc(inta,intb){if(a>b){ g=a; }else{ g=b; } }intmain(intargc,char*argv[]){ func(1,2); } 通过hopper查看其汇编，代码如下 _func: ==>拉伸栈空间0000000100006828subsp,sp,#0x10;CODEXREF=_main+32 ==>w0、w1数据入栈000000010000682cstrw0,[sp,#0xc] 0000000100006830strw1,[sp,#0x8] ==>从栈中读取数据到w8、w90000000100006834ldrw8,[sp,#0xc] 0000000100006838ldrw9,[sp,#0x8] ==>比较w8、w9，即比较w0、w1（cmp是减法，但不影响目标寄存器w8、w9，只看减法结果，修改标记寄存器）000000010000683ccmpw8,w9//如果是小于等于，就跳到到loc_100006858执行，如果是大于，则直接往下执行 0000000100006840b.leloc_1000068580000000100006844ldrw8,[sp,#0xc] 0000000100006848adrpx9,#0x100008000 000000010000684caddx9,x9,#0xe90;_g 0000000100006850strw8,x9//硬跳，规避小于等于的代码，跳到loc_100006868 0000000100006854bloc_100006868 loc_100006858:0000000100006858ldrw8,[sp,#0x8];CODEXREF=_func+24 000000010000685cadrpx9,#0x100008000 0000000100006860addx9,x9,#0xe90;_g 0000000100006864strw8,x9 loc_100006868:0000000100006868addsp,sp,#0x10;CODEXREF=_func+44 000000010000686cret 这是典型的if-else，通过hopper查看其汇编代码如下 将上述汇编代码进行还原 <!--1、还原-->intcc=12;voidfunc2(inta,intb){//==>拉伸栈空间//0000000100006828subsp,sp,#0x10//==>w0、w1数据入栈//000000010000682cstrw0,[sp,#0xc]//0000000100006830strw1,[sp,#0x8]//==>从栈中读取数据到w8、w9//0000000100006834ldrw8,[sp,#0xc]//0000000100006838ldrw9,[sp,#0x8] intw8=a;intw9=b;//==>比较w8、w9，即比较w0、w1（cmp是减法，但不影响目标寄存器w8、w9，只看减法结果，修改标记寄存器）//000000010000683ccmpw8,w9////如果是小于等于，就跳到到loc_100006858执行，如果是大于，则直接往下执行//0000000100006840b.leloc_100006858 if(w8>w9){//大于 //0000000100006844ldrw8,[sp,#0xc] //0000000100006848adrpx9,#0x100008000 //000000010000684caddx9,x9,#0xe90;_g //0000000100006850strw8,x9 cc=w8;//此时的w8是a ////硬跳，规避小于等于的代码，跳到loc_100006868 //0000000100006854bloc_100006868 }else{//小于等于 //loc_100006858: //0000000100006858ldrw8,[sp,#0x8] //000000010000685cadrpx9,#0x100008000 //0000000100006860addx9,x9,#0xe90;_g //0000000100006864strw8,x9 cc=w8;//此时的w8是b }//loc_100006868://0000000100006868addsp,sp,#0x10//000000010000686cret} <!--2、简化-->intcc=12;voidfunc2(inta,intb){if(a>b){//大于 cc=a; }else{//小于等于 cc=b; } } cmp（Compare）比较指令 CMP把一个寄存器的内容和另一个寄存器的内容或立即数进行比较，但不存储结果，只是正确的更改标志(CMP后面跟的是B.LE，即else的条件) 一般CMP做完判断后会进行跳转，后面通常会跟上B指令 BL 标号：跳转到标号处执行 B.LT 标号：比较结果是小于（less than ），执行标号，否则不跳转 B.LE 标号：比较结果是小于等于（less than or equal to），执行标号，否则不跳转 B.GT 标号：比较结果是大于（greater than），执行标号，否则不跳转 B.GE 标号：比较结果是大于等于（greater than or equal to），执行标号，否则不跳转 -`B.EQ标号`：比较结果是`等于`，执行标号，否则不跳转 -`B.NE标号`：比较结果是不等于（notequal）,执行标号，否则不跳转 -`B.HI标号`：比较结果是`无符号大于`，执行标号，否则不跳转 -`B.HS标号`：比较结果是`无符号大于等于`，执行标号，否则不跳转 循环 循环常用的主要有for、while、do-while，下面来一一进行分析 do-while分析 分析以下do-while的代码 intmain(intargc,char*argv[]){intsum=0;inti=0;do{ sum+=1; i++; }while(i<100); } 通过hopper查看其汇编 汇编结束如下所示 结论：do-while循环：判断条件在后面，满足条件往外跳 while循环分析 intmain(intargc,char*argv[]){intsum=0;inti=0;while(i<100){ sum+=1; i++; } } 汇编如图所示 结论：while循环：判断条件在里面，不满足就往外跳 for循环分析 intmain(intargc,char*argv[]){ intsum=0;for(inti=0;i<100;i++){ sum+=1; } } 此时和while的汇编是一样的 结论：for循环很像：判断条件在里面，不满足就往外跳 总结 首先作为一个开发者，有一个学习的氛围跟一个交流圈子特别重要，这是一个我的iOS开发交流群：130595548，不管你是小白还是大牛都欢迎入驻 ，让我们一起进步，共同发展！（群内会免费提供一些群主收藏的免费学习书籍资料以及整理好的几百道面试题和答案文档！） 全局变量和常量 获取全局变量和常量时，会出现adrp和add两条指令获得一个地址的情况 ADRP（Address Page） 将PC寄存器的低12位清零 将1的值，左移12位 以上两个结果相加放入x0寄存器 adrp x0，1 通过ADD指令获取这页内存中的偏移值 条件判断 CMP把一个寄存器的内容和另一个寄存器的内容或立即数进行比较，但不存储结果，只是正确的更改标志(CMP后面跟的是B.LE，即else的条件) 一般CMP做完判断后会进行跳转，后面通常会跟上B指令 BL 标号：跳转到标号处执行 B.LT 标号：比较结果是小于（less than ），执行标号，否则不跳转 B.LE 标号：比较结果是小于等于（less than or equal to），执行标号，否则不跳转 B.GT 标号：比较结果是大于（greater than），执行标号，否则不跳转 B.GE 标号：比较结果是大于等于（greater than or equal to），执行标号，否则不跳转 B.EQ 标号：比较结果是等于，执行标号，否则不跳转 B.NE 标号：比较结果是不等于（not equal）,执行标号，否则不跳转 B.HI 标号：比较结果是无符号大于，执行标号，否则不跳转 B.HS 标号：比较结果是无符号大于等于，执行标号，否则不跳转 循环 do-while循环：判断条件在后面，满足条件往外跳 for循环和while循环很像：判断条件在里面，不满足就往外跳
