iOS逆向工程使用LLDB的USB串連調試第三方App_IOS

LLDB是Low Level Debugger的簡稱，在iOS開發的調試中LLDB是經常使用的，LLDB是Xcode內建的動態調試工具。使用LLDB可以動態調試你的應用程式，如果你不做其他的額外處理，因為debugserver缺少task_for_pid許可權，所以你只能使用LLDB來調試你自己的App。那麼本篇部落格中就要使用LLDB來調試從AppStore下載安裝的App，並且結合著Hopper來分析第三方App內部的結構。LLDB與Hopper的結合，會讓你看到不一樣的東西，本篇部落格就會和你一起領略LLDB與Hopper的魅力。

一、SSH的USB串連--usbmuxd

之前我們ssh串連iOS裝置是通過區域網路也就是WiFi來串連的，當網路環境不好的時候輸入個命令列都卡，所以我們需要一種更快的訪問iOS裝置的方式，那就是使用USB串連了。本篇部落格中無論是SSH串連iOS裝置還是LLDB串連iOS裝置，我們都使用USB的方式進行裝置的訪問，這樣速度就快的不行不行的了。本篇部落格的第一部分就是介紹如何使用USB進行裝置的SSH串連，這部分也是本篇部落格的基礎，不過內容還算是簡單。

1、擷取usbmuxd

usbmuxd雖然目前最新的版本是1.1.0，但是1.1.0版本和1.0.9版本僅支援Linux系統，也就是說我們的Mac還是得下載v1.0.8的版本，下載地址（usbmuxd-v1.0.8）。下載完後，將下載的檔案進行解壓，內容如下所示：

　　

2.使用usbmuxd串連iOS越獄裝置(1) 使用usbmuxd轉寄介面

切換到上述檔案夾下的python-client目錄下，執行下方的命令，將iOS上的22連接埠轉寄到當前裝置的2221連接埠，如下所示。

./tcprelay.py -t 22:2221

下方是執行上述命令的結果：

　

(2) 使用ssh串連到越獄裝置

ssh root@localhost -p 2222

上述命令就是ssh串連的命令 -p後邊緊跟的是上述轉寄的連接埠，執行上述命令後，結果如下：

使用usbmuxd就可以通過USB來串連我們的iOS越獄裝置了，下方的LLDB串連iOS裝置也是通過USB串連的。具體請看下文。

二、配置debugserver

在做iOS開發時，在Mac上輸入LLDB的命令就可以控制iOS端的App，是因為在我們iOS用戶端中有一個debugserver伺服器。debugserver專門用來串連Mac端的LLDB用戶端，接收LLDB所提供的命令，並且進行相應的執行。如果你的iOS裝置進行過真機調試的話，裝置中就會被安裝上debugserver, 不過該debugserver只能用來調試你自己的相關應用。如果想要調試從AppStore中擷取的App的話，那麼我們需要對iOS裝置上的debugserver進行處理。該部分就是要處理我們的debugserver。

1.擷取debugserver

首先我們得找到iOS裝置中debugserver，並將其拷貝到Mac上進行處理，下方就是位於/Developer/usr/bin目錄下的debugserver。此debugserver只支援調試我們自己的App, 如果需要調試其他人的App的話，需要對此debugserver進行處理，處理過程見下文。

2.對debugserver進行瘦身

lipo -thin arm64 debugserver -output debugserver

進入到到Mac中debugserver所在的目錄下執行上述命令即可，-thin後方填寫你的測試機相應的ARM架構即可，因為我的測試機是iPhone 6 Plus, 是arm64的架構，所以此處填的參數是arm64, 如果你的是iPhone5的裝置，那麼就是armv7s了。

3.給debugserver添加task_for_pid許可權

給debugserver添加task_for_pid許可權後，我們就可以使用LLDB調試其他App了。此部分我們需要一個儲存配置資訊的xml檔案，該檔案的內容如下。你可以將下下方的文本進行拷貝，然後儲存成ent.xml即可。

<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd"><plist version="1.0"><dict> <key>com.apple.springboard.debugapplications</key> <true/> <key>get-task-allow</key> <true/> <key>task_for_pid-allow</key> <true/> <key>run-unsigned-code</key> <true/></dict></plist>

在給debugserver符許可權時，我們需要使用到ldid命令，如果你的Mac上沒有安裝ldid命令，那麼請用brew進行install。執行下方的命令列就可以給我們的debugserver賦上task_for_pid許可權。需要注意的是-S與ent.xml檔案名稱中是沒有空格的。

ldid -Sent.xml debugserver

下方截圖就是我們處理debugserver的步驟，如下所示：

4、將debugserver拷貝到iOS裝置中

最後一步就是將處理好的debugserver拷貝到我們的越獄裝置中，並且給debugserver賦上可執行檔許可權。因為/Developer/usr/bin目錄下的debugserver是唯讀，所以你不能將處理好的debugserver拷貝到上述檔案，你要將處理好的debugserver拷貝到/usr/bin/目錄下（當然此處我們藉助IFunBox進行檔案的拷貝）。

將debugserver拷貝到/usr/bin目錄下後，執行下方的賦許可權的命令，將可執行檔許可權賦給debugserver，如下所示：

chmod +x debugserver

賦完許可權後，你就可以使用debugserver命令來開啟debuserver了，如下所示：

三、debugserver的開啟與LLDB的串連

1.開啟debugserver

在越獄裝置中，我們就可以通過下方命令列來開啟debugserver了，我們此處以調試微信App為例。下方的命令就是啟動debugserver來監聽來自任何IP地址的接入，iOS裝置的接入連接埠是12345，所要調試的App為“WeChat”。命令如下：

debugserver *:12345 -a "WeChat"

在我們iOS裝置上執行上述命令的效果如下所示，執行完上述命令後，我們的iOS裝置就會等待Mac終端LLDB的接入。

2.LLDB串連debugserver

LLDB串連debugserver可以使用WIFI進行串連，可是WIFI是不穩定的，而且特別的慢，所以此處我們要使用usbmuxd進行LLDB和debugserver的串連。

（1）進行連接埠的轉寄

和第一部分中的內容相同，我們使用usbmuxd進行連接埠的轉寄，將上述的“12345”連接埠對接到Mac本地的某個連接埠，此處我們使用“12345”連接埠。進入到usbmuxd-1.0.8目錄下的python-client下執行下方的命令。

./tcprelay.py -t 12345:12345

具體操作步驟如下所示：

（2）Mac端LLDB的接入

進行連接埠轉寄後，接下來我們就開始進入lldb模式，然後進行debugserver的串連了。首先在terminal上輸入lldb命令，然後輸入下方的地址進行串連。因為我們使用usbmuxd進行了連接埠的轉寄，因此可以使用本地的環回測試地址來進行debugserver的串連。

process connect connect://127.0.0.1:12345

下方是串連後的結果，LLDB與debugserver建立完成後，我們就可以使用lldb來調試微信這個應用了。

四、Hopper + LLDB

在上篇部落格《iOS逆向工程之給WeChat脫殼》 我們已經給微信進行可脫殼處理，所以使用Hopper進行處理是沒有問題的。此部分我們就要將Hopper與LLDB結合在一起發揮其雙劍合璧的作用。該部分也算是本篇部落格中實戰的一部分。

1.查看線程中的WeChat

LLDB串連上debugserver後，我們首先使用下方的命令來查看當前進程中的所有模組。從這些輸出資訊中我們能找到“WeChat”這個進程在虛擬記憶體相對於模組基地址的位移量。

image list -o -f

lldb串連debugserver後，執行上述命令輸出的部分結果如下所示。下方截圖中，第一個就是“WeChat”程式的相關資訊。左邊紅框就是ASLR位移量（隨機位移量），ASLR位移量其實就是虛擬記憶體的其真實位址，相對於模組基地址的位移量。右邊紅框中的地址就是位移後的地址。

在介紹地址這塊的東西是先熟悉一下下方的兩個概念：

模組在記憶體中的起始地址----模組基地址

ASLR位移 ---- 虛擬記憶體起始地址與模組基地址的位移量

從下方的輸出結果我們可以知道:ASLR位移量 = 0x5b000, 模組位移後基地址 = 0x5f000

下方是使用Hopper開啟的解密後的微信的安裝包，其起始地址從下圖中我們可以看出是0x4000, 這個地址就是模組位移前的地址，也就是模組在虛擬記憶體中的起始地址。從Hopper中我們可以知道：模組位移前的基地址=0x4000

　　

從上面兩組資料我們可以得出：

模組位移後的基地址（0x5f000）= ASLR位移量（0x5b000）+ 模組位移前基地址（0x4000）

上面這個公式是尤為重要的，因為Hopper中顯示的都是“模組位移前基地址”，而LLDB要操作的都是“模組位移後的基地址”。所以從Hopper到LLDB，我們要做一個地址位移量的轉換。這個在下方會多次用到。當然，有一點需要注意的是Hopper與LLDB所選擇的AMR架構的位元得一致，要麼是32位，要麼都是64位，如果位元不匹配的話，那麼計算出來的記憶體位址肯定是不對的。

2、使用LLDB給微信登入添加斷點

(1)、加斷點前的分析

“斷點”這個東西在iOS開發中可謂是經常使用的東西，接下來我們要做的就是給在微信點擊登入進行頁面跳轉時添加一個斷點。就是點擊左邊截圖的登入按鈕往右邊頁面跳轉時添加一個斷點。我們暫且將斷點添加在右邊頁面的初始化方法中。

要給上述右邊頁面添加斷點首先得知道上面“手機號登入”視圖控制器的記憶體位址，然後才可以使用LLDB添加斷點。那麼尋找上述視圖控制器的記憶體位址的任務就交給了我們的Hopper來做了。在Hopper中我們搜尋“Login”，然後會篩選出好的帶有Login關鍵字的ViewController，然後我們在篩選的結果中再次尋找可疑目標對象。然後我們找到了一個名為“WCAccountPhoneLoginControlLogic”（我們可以翻譯一下英文，大概意思就是“微信手機帳號登入控制邏輯”）的類，從這個類的名字中我們不難推斷出該類極有可能就是我們要尋找的“手機帳號登入”頁面。

經過上述分析後，我們決定要給該類的“initWithData”（這肯定是個初始化方法）使用LLDB添加斷點。

(2)、定位斷點地址

經過第一步找到添加斷點的類中的方法後，接下來我們要計算出該方法的記憶體位址，然後使用LLDB給該地址添加斷點。通過Hopper我們很容易定位到上述的“initWithData:”方法，的位置，如下所示。下方截圖中這個帶“星號”的地址就是“initWithData:”方法位移前的基地址。根據上面的公式我們很容易就可以計算出該方法“位移後的基地址”也就是真正的記憶體位址。演算法如下所示：

initWithData記憶體位址 = 0x1304b60 + 0x5b000（ALSR位移） = 0x135FB60

(3)、添加斷點

使用下述命令，給上述地址添加斷點。斷點添加後，點擊登入按鈕就會跳轉到“手機號登入”頁面就會執行該斷點，下方截圖的紅框中就是“斷點”執行後的效果。從下方截圖中我們可以看出該斷點的編號是1，Breakpoint後方就是斷點編號，該編號會在操作斷點是會用到，下方會給出執行個體。

br s -a 0x135FB60

(4)、斷點的逐步執行（ni, si）

你可以通過nexti (簡寫：ni)和stepi (簡寫：si)來進行單步的調試。ni遇到跳轉不會進入到跳轉中去，而si則會跳轉到相應的分支中去。下方就是通過si和ni進行單步調試的效果截圖。

(5) 放開執行該斷點（c）

命令c可以執行該斷點, 上面這種情況如果執行c命令，因為只有一個斷點，該斷點執行後，就會跳轉到“手機號登陸頁面”。

(6)斷點的禁用和開啟

上面也有提到，上述建立的斷點的編號是1，我們要對該斷點進行禁用和開啟操作，具體命令如下所示：

br dis 1 -- 禁用（disable）編號為1的斷點

br en 1 -- 啟用（enable）編號為1的斷點

br dis -- 禁用所有斷點

br en -- 啟用所有斷點

具體操作結果如下, 當斷點禁用後，點擊登入按鈕就不會觸發該斷點了。當斷點重啟後，點擊登入按鈕還是會觸發該斷點的。具體效果如下所示：

(7) 斷點的刪除

br del 1 -- 刪除（delete）編號為1的斷點

br del -- 刪除所有斷點

3.輸出寄存器的值(p, po)

在iOS開發中，我們在使用LLDB調試時，經常會用到po命令來輸出某個變數或者常量的值。在使用LLDB調試WeChat時，我們也可以使用某些命令來輸出寄存器中的值。我們使用$來訪問某個寄存器中的值，並且使用p命令進行列印。下方就是通過p命令將r1寄存器中所存的內容進行列印，在列印之前將$r1進行類型轉換，po命令則輸出了Objective-C的對象，而p輸出的是C語言類型的資料。如下所示：　

我們還可以將一個地址所存放的值進行列印，下方這個命令就是輸出了$sp指標所指的地址處所存放的值：

p/x $sp

4.修改寄存器中的值

我們不僅可以查看某些寄存器中的值，而且可修改寄存器中的中，通過下述命令我們就可以修改指的寄存器中的值。

register write 寄存器 值

接下來我們將要通過一個執行個體來實戰一下register write這個命令，通過在Hopper中對登入模組的分析，我們不難發現“WCAccountManualAuthControlLogic”這個類中的“handleAuthResponse:”方法就是用來處理“登入認證響應”的方法。也就是說“handleAuthResponse:”負責處理登入商務邏輯的網路響應，並且在這個函數的前邊有一個比較（cmp r0, r1）, 根據r0和r1的比較結果來進行跳轉。

接下來我們要做的事情就是，在比較寄存器r0和r1中的值時我們要改變r1寄存器中的值，然後觀察App的運行效果。下方這個截圖是隨便輸入手機號和密碼時所提示的內容。也就是正常的流程會彈出下方的框。

接下來我們要做的就是給0x1063a24 + 0x5b000 = 0x10BEA24 （cmp）這個記憶體位址添加斷點，然後去修改寄存器r1的值。下方截圖就是給0x10BEA24這個記憶體址添加了斷點，並且在輸入手機號和密碼後，點擊登入會執行我們添加的斷點，如下所示。在斷點出我們清楚的看到了cmp r0, r1這行ARM指令。

　

接下來我們先將r0和r1中的值進行列印，$r0 = 8, $r1 = 351。然後我們將$r1中的值改成8，然後輸入c繼續執行，發現之前正常流程的alter就不會彈出來了，而是重新進行了一次網路請求。

上述樣本都是在32位系統上做的，如果你使用的是arm64架構的裝置，如iPhone6Plus,那麼你的地址會比上述地址要長一倍。下方兩個截圖是使用iPhone 6 Plus越獄裝置做實驗的截圖，可以和上述步驟進行一下對比，雖然有所不同，但是上述內容在調試下方內容時也是適用的。

本篇部落格的內容就到這兒吧，至此，你應該能將LLDB與Hopper結合起來使用了吧。今天我們以“微信”為例子，並沒有別的意思，只是想在真正的執行個體中實現一下。使用微信做實驗的原因就是微信做的足夠安全，畢竟微信的團隊還是很強大的。因為用我的越獄裝置做完上述實驗後，該越獄裝置已經不能登入微信帳號了，肯定是微信的後台監測到該“越獄裝置”的異常行為了，從而做了一些安全措施。

“攻與防”就像“矛與盾”相輔相成。

以上就是本文的全部內容，希望對大家的學習有所協助，也希望大家多多支援雲棲社區。