一步一步用debugserver + lldb代替gdb进行动态调试


#1

以下内容摘自《iOS应用逆向工程》第二版,以iOS 8为环境编写,应该也支持iOS 7和iOS 9,请大家注意。

因为Apple已经弃gdb投lldb,所以随着我动态调试的次数越来越频繁,gdb上一个接一个的bug经常会让人很恼火。既然苹果打算建立自己的调试器王国,也投入了财力精力,那我们干脆也上手lldb玩玩,看看lldb是不是比gdb要更好用😁
以下操作在iPhone 5,iOS 8.1上测试,方法同样适用于arm64。更多内容请参照iphonedevwiki

一、配置debugserver

1. 在iOS中安装debugserver

debugserver运行在iOS上,顾名思义,它作为服务端,实际执行LLDB(作为客户端)传过来的命令,再把执行结果反馈给LLDB,显示给用户,即所谓的“远程调试”。在默认情况下,iOS上并没有安装debugserver,只有在设备连接过一次Xcode,并在Window→Devices菜单中添加此设备后,debugserver才会被Xcode安装到iOS的“/Developer/usr/bin/”目录下。

2. 帮debugserver减肥

对照下表,记下设备的ARM信息。


我的iPhone 5对应的ARM是armv7s。将未经处理的debugserver从iOS拷贝到macOS中的“/Users/snakeninny/”目录下:

snakeninnysiMac:~ snakeninny$ scp root@iOSIP:/Developer/usr/bin/debugserver ~/debugserver

然后帮它减肥:

snakeninnysiMac:~ snakeninny$ lipo -thin armv7s ~/debugserver -output ~/debugserver

注意把这里的“armv7s”换成你的设备所对应的ARM。

3. 给debugserver添加task_for_pid权限

下载ent.xml到macOS的“/Users/snakeninny/”目录,然后运行:

snakeninnysiMac:~ snakeninny$ /opt/theos/bin/ldid -Sent.xml debugserver

注意,此处的ldid来自joedj,且“-S”选项与“ent.xml”之间是没有空格的。
正常情况下,上面这条命令会在5秒内执行完毕。如果ldid卡住了,执行超时,就换一种方案:下载ent.plist到“/Users/snakeninny/”,然后运行:

snakeninnysiMac:~ snakeninny$ codesign -s - --entitlements ent.plist -f debugserver

4. 将经过处理的debugserver拷回iOS

将经过处理的debugserver拷回iOS,并添加执行权限,命令如下:

snakeninnysiMac:~ snakeninny$ scp ~/debugserver root@iOSIP:/usr/bin/debugserver
snakeninnysiMac:~ snakeninny$ ssh root@iOSIP
FunMaker-5:~ root# chmod +x /usr/bin/debugserver

这里之所以把处理过的debugserver存放在iOS的“/usr/bin/”下,而没有覆盖“/Developer/usr/bin/”下的原版debugserver,一是因为原版debugserver是不可写的,无法覆盖;二是因为“/usr/bin/”下的命令无须输入全路径就可以执行,即在任意目录下运行“debugserver”都可启动处理过的debugserver。

二、在iOS上用debugserver来attach进程

debugserver + lldb调试方法跟gdb最大的不同,在于前者是用macOS中的lldb远程连接debugserver,由debugserver作为lldb和iOS的中转,在执行命令和返回结果;而后者是gdb直接运行在iOS上。但对于一般的开发者来说,这个区别跟我们没关系,了解一下就好~
在iOS上运行下面的命令来attach进程,其中1234是我们指定的端口号:

debugserver *:1234 -a "SpringBoard"

成功后会显示:

三、在macOS上用lldb远程调试

首先在Terminal中运行lldb,然后输入以下命令:

process connect connect://iOSIP:1234

注意,这条命令执行耗时比较长,很多读者可能会以为iOS/macOS死掉了,其实没有,耐心等一会,看看@iOS应用逆向工程有没有刷新微博,或在论坛里逛逛吧~
执行成功后会显示:

四、获取ASLR的offset

首先在lldb里输入"c"并回车,让进程继续执行;lldb有一个gdb没有的优点,就是可以在进程运行的过程中执行一些命令,这样就可以有效避免SpringBoard这样的进程在暂停过久后被WatchDog给kill掉。在lldb里输入

image list -o -f

显示如下图片:


其中第一列[X]是image的序号,不用管;第二列是ASLR的offset(也就是对应image的虚拟内存slide);第三列是image的全路径和slide之后的基地址,也不用管~所以第二列就是我们需要的信息。

五、在内存地址上下断点

image






假如我们在SpringBoard这个image的0xb446(在_menuButtonDown:中)处下断点,则此地址在内存中的实际位置是0xb446 + 0x9a000 = 0xa5446,在lldb中对应的命令是:

br s -a 0xb446+0x9a000

br s -a 0xA5446

执行成功后显示:

六、更改寄存器的值

按下home键,触发断点,显示如图:

可以看到,lldb把包括断点在内的4条指令显示了出来,方便我们调试。这里,我们将r0的值设为0,让其跳转到0xa5470(0xb470 + 0x9a000)处。更改r0值的lldb命令是:

register write r0 0

接着”ni“两次,我们就可以看到程序执行到了0xa5470处,如图:

七、用lldb启动一个App

debugserver -x backboard *:1234 /path/to/app/executable

debugserver -x backboard *:1234 /Applications/MobileNotes.app/MobileNotes

此命令会启动记事本,并断在dyld的第一条指令上,如图所示:

接下来,在lldb中持续输入“ni”,直到出现“error: invalid thread”的字样,如图所示:

稍等片刻,lldb即会停在程序的第一条指令上,如图所示:

此时我们即已处在进程内部,可以开始一窥究竟啦~
相较attach的半路出家,这种方式更有助于我们从头调试一个程序,可以观察到一些变量的初始化过程。

八、更多lldb命令

经过上面的操作,我们可以看到,lldb还是比较方便的,用惯了gdb而对它不熟悉的朋友可以通过lldb与gdb命令对照表来熟悉lldb的命令。其实有了上面的几个操作,我们就可以开始简单动态分析程序了,相信能把上面六步走通的朋友,已经具备了举一反三的能力,其他需要用到的功能都可以Google到,论坛也汇总了一部分。好了,debugserver + lldb的简单介绍到此结束,接下来赶紧打开Terminal,hack起来吧~!


给debugserver添加task_for_pid权限 ldid命令没响应
Lldb+debugserver链接不成功
不知道这个0xb446怎么来的T_T
LLDB连接时报出大量warning: unable to find and load segment named '__TEXT' at 0xxxx in '' in macosx dynamic loader plug-in
#4

没有mac的是不是就用不了lldb了。。


#5

必须先瘦身???


#6



#7

老版的ldid是不支持fat binary的,现在好像支持了。如果支持的话就不用瘦了,你可以试试看


#8

设备: iPhone 4 IOS 7.0.4

mac上:
FangtekiMacBook-Pro:Desktop Fang$ lipo -thin armv7 debugserver -output debugserver
FangtekiMacBook-Pro:Desktop Fang$ ldid -S ent.xml debugserver
util/ldid.cpp(249): assert(0:Swap(mach_header->magic) == MH_MAGIC)
Trace/BPT trap: 5

手机上:
CY:/usr/bin root# ls -l debugserver
-rwxr-xr-x 1 root wheel 334288 Mar 21 11:33 debugserver*
CY:/usr/bin root# debugserver *:1234 -a “SpringBoard”
debugserver-300.2 for armv7.
Attaching to process SpringBoard…
error: failed to attach to process named: “” unable
to start the exception thread
Exiting.

这个是什么情况?


#9
ldid -S ent.xml debugserver

这一句注意看和我写的有什么不同


#10

我在ios设备上的/Developer,找不到/usr/bin/debugserver这东西啊,怎么回事?


#11

要先连一次xcode,把iDevice设成调试机才有


#12

在Mac上:
HanmatoiMac:DBG hanjideng$ /opt/theos/bin/ldid -Sent.xml debugserver
长时间没反应呀怎么解决?

问题解决了,原来以前下载的那个ldid不好用,得从楼主给的链接下才行


#13

换帖子里提到的那个ldid,应该就可以了


#14

lldb啊,值得研究的东西


#16

facebook开源了一些lldb的自定义命令脚本,python写的,https://github.com/facebook/chisel


这个能在iDevice 用吗?
#17

ldid/ldid.cpp(392): _assert(false); errno=0 这是怎么回事呢 ?照着你命令ldid -S ent.xml debugserver (xml和debug放在当前目录下),后面自己把debugserver直接拉进去ipad 出现这错误:/usr/bin root# debugserver *:1234 -a “SpringBoard”
debugserver-300.2 for armv7.
Attaching to process SpringBoard…
error: failed to attach to process named: “” unable to start the exception thread 求大神解释~~


#18

你的命令貌似是输错了,仔细看看同我说的有什么区别


#19

楼主 一般都用哪个好用的IDE工具呢


#20

我都用Xcode,越狱开发时也用MacVim


#21

嗯谢谢 我想问 反编译 查看动态汇编的工具 用哪个


#22

静态IDA,动态LLDB


#23

taro-newteki-iPod:~ root# debugserver *:1234 -a “SpringBoard”
-sh: /usr/bin/debugserver: Permission denied

按照楼主说的一步一步,到这里的时候出现这个问题。