iOS逆向：在任意app上开启malloc stack追踪内存来源

lldb有一个内存调试工具malloc stack，开启以后就可以查看某个内存地址的malloc和free记录，追踪对象是在哪里创建的。

这个工具可以打印出对象创建的堆栈，而在逆向时，也经常需要追踪某些方法的调用栈，如果可以随时打印出某个对象的创建记录，也就能直接找到其所在的类和方法，不用再花费大量的时间去打log和动态调试追踪了。

malloc stack

在自己的项目中，要开启malloc stack，需要在Product->Scheme->Edit Scheme->Diagnistic里勾选Malloc Stack选项。

效果如下。

测试代码：

- (IBAction)create:(id)sender {NSString *testString = [NSString stringWithFormat:@"string created by %@",self];}
复制代码

断点后在lldb中使用lldb.macosx.heap里的malloc_info命令，虽然官网上说是Mac app才能用的命令，但是经测试现在在iOS上也能用了：

(lldb) p/x testString
(__NSCFString *) $3 = 0x16eac000 @"string created by <ViewController: 0x16e9d7c0>"
(lldb) command script import lldb.macosx.heap //加载lldb.macosx.heap
"malloc_info", "ptr_refs", "cstr_refs", "find_variable", and "objc_refs" commands have been installed, use the "--help" options on these commands for detailed help.
(lldb) malloc_info -s 0x16eac000
0x0000000016eac000: malloc(    64) -> 0x16eac000 __NSCFString.NSMutableString.NSString.NSObject.isa
stack[0]: addr = 0x16eac000, type=malloc, frames:[0] 0x00000000242948ab libsystem_malloc.dylib`malloc_zone_malloc + 123[1] 0x00000000244e3bc1 CoreFoundation`_CFRuntimeCreateInstance + 237[2] 0x00000000245a6ffd CoreFoundation`__CFStringCreateImmutableFunnel3 + 1657[3] 0x00000000244ee0f7 CoreFoundation`CFStringCreateCopy + 359[4] 0x00000000245a725d CoreFoundation`_CFStringCreateWithFormatAndArgumentsAux2 + 89[5] 0x0000000024d17dd3 Foundation`-[NSPlaceholderString initWithFormat:locale:arguments:] + 139[6] 0x0000000024d17cd1 Foundation`+[NSString stringWithFormat:] + 61[7] 0x00000000000d7343 testMallocStack`-[ViewController create:] + 97 at ViewController.m:23:28[8] 0x00000000287a5771 UIKit`-[UIApplication sendAction:to:from:forEvent:] + 81[9] 0x00000000287a5701 UIKit`-[UIControl sendAction:to:forEvent:] + 65[10] 0x000000002878d61f UIKit`-[UIControl _sendActionsForEvents:withEvent:] + 447[11] 0x00000000287a5051 UIKit`-[UIControl touchesEnded:withEvent:] + 617[12] 0x00000000287a4cbf UIKit`-[UIWindow _sendTouchesForEvent:] + 647[13] 0x000000002879d5d7 UIKit`-[UIWindow sendEvent:] + 643[14] 0x000000002876e119 UIKit`-[UIApplication sendEvent:] + 205[15] 0x000000002876c757 UIKit`_UIApplicationHandleEventQueue + 5135[16] 0x0000000024599257 CoreFoundation`__CFRUNLOOP_IS_CALLING_OUT_TO_A_SOURCE0_PERFORM_FUNCTION__ + 15[17] 0x0000000024598e47 CoreFoundation`__CFRunLoopDoSources0 + 455[18] 0x00000000245971af CoreFoundation`__CFRunLoopRun + 807[19] 0x00000000244e9bb9 CoreFoundation`CFRunLoopRunSpecific + 517[20] 0x00000000244e99ad CoreFoundation`CFRunLoopRunInMode + 109[21] 0x0000000025763af9 GraphicsServices`GSEventRunModal + 161[22] 0x00000000287d5fb5 UIKit`UIApplicationMain + 145[23] 0x00000000000d7587 testMallocStack`main + 107 at main.m:14:9[24] 0x000000002419c873 libdyld.dylib`start + 3[25] 0x000000003a9c0001 libsystem_pthread.dylib`_thread + 1
复制代码

这个工具是继承自gdb的malloc_history，不过malloc_history只能用在模拟器上，而malloc_info在模拟器和真机上都可以使用。另外，新版Xcode又增加了一个新的lldb工具memory history，在Product->Scheme->Edit Scheme->Diagnistic里勾选Address Sanitizer即可，效果类似。

使用非官方版的heap.py

注意，在Xcode8.3以后使用malloc_info会导致lldb调试器crash，似乎是出bug了，一直没修复。在Xcode8.2上可以正常使用。

所以我们需要替换一下lldb自带的lldb.macosx.heap模块。使用这个非官方的版本：heap.py。

lldb可以加载自定义的pthon脚本。只需要在lldb中输入：

command script import python脚本的地址
复制代码

因此把上面的heap.py下载到本地后，输入：

command script import /你的路径/lldb/examples/darwin/heap_find/heap.py
复制代码

即可。

在任意app上开启malloc stack

Address Sanitizer的memory history需要重新编译app，但是malloc stack只需要在app启动前设置环境变量MallocStackLogging和MallocStackLoggingNoCompact即可。开启后会在系统的/tmp目录下生成一个.index文件，这个文件里的内容是依赖于app的运行时环境的，进程退出以后这个文件也就没用处了。

那么，现在的问题就变成了如何给app设置启动环境变量。

方法一：execve

这是我一开始使用的方法。使用execve函数来运行app的二进制文件。

由于沙盒的限制，需要让app拥有root权限才能使用execve。步骤如下。

1.重签名ipa

重签名需要逆向的app。因为需要对app内容作出修改。重签名后安装到越狱设备上。

2.移动app到系统app目录下，修改权限

只有系统目录下的app才有root权限。

假设需要逆向的app是YOUR_APP.app。把app移动到系统app目录下：mv -f /var/containers/Bundle/Application/xxxxxxxxxxxxx/YOUR_APP.app /Applications/YOUR_APP.app。

然后修改文件权限：

cd /Applications

chown -R root:wheel YOUR_APP.app

chmod 4755 YOUR_APP.app/YOUR_APP

移动后，用uicache刷新app图标，用killall SpringBoard重启SpringBoard。

3.使用引导程序启动app

最终的目的就是使用引导程序用execve启动app，在启动前设置环境变量。

首先重命名原来的二进制文件：mv YOUR_APP.app/YOUR_APP YOUR_APP.app/YOUR_APP_Orig。

然后制作引导程序，随便创建一个iOS工程，替换main.m里的内容为：

int main(int argc, char * argv[]) {@autoreleasepool {NSString* string = [[NSBundle mainBundle] pathForResource:@"YOUR_APP_Orig" ofType:nil];//YOUR_APP_Orig是所要启动的二进制文件名argv[0] = (char*)[string UTF8String];char *envp[] ={"HOME=/var/root","LOGNAME=root","PATH=/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin:/usr/bin/X11:/usr/games","USER=root","MallocStackLogging=1","MallocStackLoggingNoCompact=1"0};execve([string UTF8String], argv, envp);return 0;}
}
复制代码

编译后，取出二进制文件，重命名为YOUR_APP，复制到越狱设备的/Application/YOUR_APP.app/目录下。

给引导程序设置执行权限：chmod +x /Application/YOUR_APP.app/YOUR_APP。

最后重启SpringBoard：killall SpringBoard。

这样，每次启动app就都会使用引导程序间接启动app。

缺点

  • 步骤繁琐。
  • 有些app重签名很麻烦。
  • 越狱后的系统分区容量很小，很容易就被占满了，想要测试大一点的app就麻烦了。
  • 无法使用debugserver唤醒app，调试启动过程。因为YOUR_APP和YOUR_APP_Orig是两个进程，第一个在execve执行完就退出了。
  • 把app放到系统目录下有时候会引起crash。

方法2：debugserver参数

方法1实在是太麻烦了，有时候遇上重签名失败的app就更麻烦了。但其实还有另一个更直接的方法。就是使用debugserver的命令。

debugserver是动态调试工具，参考：IOS平台lldb动态调试介绍。

安装好后，在越狱设备上输入debugserver *:1234 /var/containers/Bundle/Application/589822B6-BFDA-4A3D-A71C-AD0D30BA6077/WeChat.app/WeChat就能唤醒app进行调试。

但是网上的教程都没有提到，其实debugserver还有一个隐藏的参数--env(-env,-e都可以)，就是用来设置进程的环境变量的：

debugserver *:1234 /var/containers/Bundle/Application/589822B6-BFDA-4A3D-A71C-AD0D30BA6077/WeChat.app/WeChat -env MallocStackLogging=1 -env MallocStackLoggingNoCompact=1

当时我想debugserver会不会有设置环境变量的功能，没想到随便试了个-env就成功了。后来在debugserver的源码里也发现了它的存在：debugserver.cpp（搜索g_long_options可以找到env）。

这样，即使app没有重签名，也可以直接调试了。

缺点

debugserver无法启动调试extension app，因为extension app是依赖于宿主app而存在的，不能单独运行。这种情况就只能使用方法1了。

测试

这里使用一个重签名，并且恢复了符号表的微信进行测试。

比如找到微信查看表情的界面，打印出内存地址为0x108795c20：

<MMEmoticonView: 0x108795c20; frame = (276.25 404.25; 215.5 215.5); autoresize = LM+RM+TM+BM; layer = <CALayer: 0x170828700>>
复制代码

第一次使用malloc_info需要在lldb里导入lldb.macosx.heap，这里需要导入非官方版本的heap.py：

(lldb) command script import heap.py的路径
"malloc_info", "ptr_refs", "cstr_refs", "find_variable", and "objc_refs" commands have been installed, use the "--help" options on these commands for detailed help.
复制代码

使用malloc_info打印创建堆栈：

(lldb) malloc_info -s 0x108795c20
0x0000000108795c20: malloc(   480) -> 0x108795c20 MMEmoticonView.UIView.UIResponder.NSObject.isa
stack[0]: addr = 0x108795c20, type=malloc, frames:[0] 0x000000018374e0ac libsystem_malloc.dylib`calloc + 40[1] 0x000000018318b624 libobjc.A.dylib`class_createInstance + 76[2] 0x0000000183199ae4 libobjc.A.dylib`_objc_rootAlloc + 52[3] 0x00000001026d8fd4 WeChat`-[MMImageBrowseView InitEmoticonView:] + 432[4] 0x000000010245e950 WeChat`-[MMEmotionMsgBrowseViewController initImageViewWithFrame:] + 404[5] 0x000000010245ea74 WeChat`-[MMEmotionMsgBrowseViewController setupImageView] + 156[6] 0x000000010245e024 WeChat`-[MMEmotionMsgBrowseViewController initView] + 224[7] 0x000000010245d76c WeChat`-[MMEmotionMsgBrowseViewController viewDidLoad] + 112[8] 0x000000018a5f7924 UIKit`-[UIViewController loadViewIfRequired] + 1056[9] 0x000000018a60f4b4 UIKit`-[UIViewController __viewWillAppear:] + 132[10] 0x00000001026e05f8 WeChat`-[MMUIViewController beginAppearanceTransition:animated:] + 92[11] 0x000000018a7975b4 UIKit`-[UINavigationController _startCustomTransition:] + 1136[12] 0x000000018a6afe74 UIKit`-[UINavigationController _startDeferredTransitionIfNeeded:] + 676[13] 0x000000018a6afadc UIKit`-[UINavigationController __viewWillLayoutSubviews] + 64[14] 0x000000018a6afa40 UIKit`-[UILayoutContainerView layoutSubviews] + 188[15] 0x000000018a5f4a80 UIKit`-[UIView(CALayerDelegate) layoutSublayersOfLayer:] + 1196[16] 0x0000000187aa29d8 QuartzCore`-[CALayer layoutSublayers] + 148[17] 0x0000000187a974cc QuartzCore`CA::Layer::layout_if_needed(CA::Transaction*) + 292[18] 0x0000000187a9738c QuartzCore`CA::Layer::layout_and_display_if_needed(CA::Transaction*) + 32[19] 0x0000000187a143e0 QuartzCore`CA::Context::commit_transaction(CA::Transaction*) + 252[20] 0x0000000187a3ba68 QuartzCore`CA::Transaction::commit() + 512[21] 0x0000000187a3c488 QuartzCore`CA::Transaction::observer_callback(__CFRunLoopObserver*, unsigned long, void*) + 120[22] 0x00000001846f60c0 CoreFoundation`__CFRUNLOOP_IS_CALLING_OUT_TO_AN_OBSERVER_CALLBACK_FUNCTION__ + 32[23] 0x00000001846f3cf0 CoreFoundation`__CFRunLoopDoObservers + 372[24] 0x00000001846f4180 CoreFoundation`__CFRunLoopRun + 1024[25] 0x00000001846222b8 CoreFoundation`CFRunLoopRunSpecific + 444[26] 0x00000001860d6198 GraphicsServices`GSEventRunModal + 180[27] 0x000000018a6627fc UIKit`-[UIApplication _run] + 684[28] 0x000000018a65d534 UIKit`UIApplicationMain + 208[29] 0x00000001000ebea4 WeChat`-[WATemplateMsgMngSwitchCell .cxx_destruct] + 372[30] 0x00000001836055b8 libdyld.dylib`start + 4
复制代码

这样就直接找到表情界面所在的类，以及在哪里初始化了。

这样的话，只要能找到一个对象，就能快速定位到其所在模块。比原来打log，打断点一步步回溯高效多了。

恢复符号表

建议在对app重签名时恢复符号表。恢复符号表后，就能直接在堆栈中看到方法名，免去了计算偏移量然后在hopper里查找的麻烦。

参考：iOS符号表恢复&逆向支付宝, restore-symbol。

其他几个调试命令

ptr_refs

可以在内存中找出哪些地址引用了某个指针，也就相当于查看某个变量在哪里被引用。

cstr_refs

在内存中寻找某个C String在哪里被引用。

find_variable

在当前栈帧上寻找某个局部变量在哪里被引用。

objc_refs

在内存中寻找某个类的实例。

转到Xcode中调试

如果想要在Xcode中调试并开启malloc stack，则需要先用debugserver启动app，在终端的lldb里连接上以后，再用process detach断开连接。接下来用Xcode的Attach to Process就可以了，参考：iOS逆向：用Xcode直接调试第三方app。

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.mzph.cn/news/278239.shtml

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

【CH4302】Interval GCD

【CH4302】Interval GCD

思路&#xff1a;线段树维护a的差分数组的gcd&#xff0c; 因为$gcd(a_1,a_2,a_3,...,a_n)gcd(a_1,a_2-a_1,a_3-a_2,...,a_n-a_{n-1})$。 原区间修改可以转化为差分数组上的两次单点修改。 因为实际计算时还需要原数&#xff0c;所以用树状数组维护b的增减量。 询问时&#xff…
阅读更多...
Vue 的路由实现 Hash模式 和 History模式

Vue 的路由实现 Hash模式 和 History模式

Hash 模式: Hash 模式的工作原理是onhashchange事件&#xff0c;Window对象可以监听这个事件... 可以通过改变路径的哈希值&#xff0c;来实现历史记录的保存&#xff0c;发生变化的hash 都会被浏览器给保存下来&#xff0c;所以下次尽管浏览器没有请求服务器&#xff0c;但是还…
阅读更多...
我的第一次——网站备案

我的第一次——网站备案

暂无内容 转载于:https://my.oschina.net/vright/blog/1784979
阅读更多...
使用LiveClick升级您的实时书签

使用LiveClick升级您的实时书签

If you like to subscribe to feeds using Firefox’s Live Bookmarks feature, the LiveClick extension gives you so many upgrades that I can only cover the highlights of how great it is. 如果您想使用Firefox的“实时书签”功能订阅供稿&#xff0c;则LiveClick扩展程…
阅读更多...
操作系统的概论梳理

操作系统的概论梳理

转载于:https://www.cnblogs.com/hclhechunlu/p/10477470.html
阅读更多...
win7下如何显示缅文和使用缅文输入法?

win7下如何显示缅文和使用缅文输入法?

windows 7 操作系统默认不支持缅文&#xff0c;所以缅文在win7上不能显示&#xff0c;当然也没有提供缅文输入法。 一、显示缅文 windows系统下显示缅文字母只需要安装缅文字体就可以了。目前常见的缅文字体就是Zawgyi-One&#xff0c;Zawgyi-One是一种广泛使用的缅文字体。Zaw…
阅读更多...
airpods2使用_如何使用AirPods和AirPods Pro：完整指南

airpods2使用_如何使用AirPods和AirPods Pro：完整指南

airpods2使用Burdun Iliya/ShutterstockBurdun Iliya /快门Just bought yourself or received a new pair of AirPods or AirPods Pro? Welcome to the truly wireless earphones life. Setting up AirPods is quite straightforward, but here’s how to customize and get t…
阅读更多...
LANG

LANG

修改 /etc/sysconfig/i18n 文件 locale 查看字符集 转载于:https://www.cnblogs.com/todayORtomorrow/p/10479594.html
阅读更多...
如何在iPhone上共享视频之前从视频中删除音频

如何在iPhone上共享视频之前从视频中删除音频

Sometimes, you’d like to share a video with others, but the accompanying audio track is distracting or perhaps introduces privacy concerns. Luckily, there’s a quick way to silence a video using Photos on iPhone and iPad. Here’s how. 有时&#xff0c;您想…
阅读更多...
入门第十一课 Python语句的嵌套

入门第十一课 Python语句的嵌套

1、说个小故事&#xff1a;话说一个人买到一个治疗瘙痒的偏方&#xff0c;在拆开无数层的包装后&#xff0c;得到的只是一张写着“挠挠”的小纸条儿。 嵌套&#xff0c;类似于在一个语句中&#xff0c;嵌套另一个语句。举个栗子-_-!! 我们要计算从1到100之间&#xff0c;所有的…
阅读更多...
【TensorFlow篇】--Tensorflow框架实现SoftMax模型识别手写数字集

【TensorFlow篇】--Tensorflow框架实现SoftMax模型识别手写数字集

一、前述 本文讲述用Tensorflow框架实现SoftMax模型识别手写数字集&#xff0c;来实现多分类。 同时对模型的保存和恢复做下示例。 二、具体原理 代码一&#xff1a;实现代码 #!/usr/bin/python # -*- coding: UTF-8 -*- # 文件名: 12_Softmax_regression.pyfrom tensorflow.ex…
阅读更多...
web页面锁屏初级尝试

web页面锁屏初级尝试

因为工作需要&#xff0c;所以在网上找了一些素材来弄这个功能。在我找到的素材中&#xff0c;大多都是不完善的。虽然我的也不是很完善&#xff0c;但是怎么说呢。要求不是很高的话。可以直接拿来用的【需要引用jQuery】。废话不多说直接上代码 这部分是js代码 1 <script&g…
阅读更多...
Java 并发工具箱之concurrent包

Java 并发工具箱之concurrent包

概述 java.util.concurrent 包是专为 Java并发编程而设计的包。包下的所有类可以分为如下几大类&#xff1a; locks部分&#xff1a;显式锁(互斥锁和速写锁)相关&#xff1b;atomic部分&#xff1a;原子变量类相关&#xff0c;是构建非阻塞算法的基础&#xff1b;executor部分&…
阅读更多...
如何提高gps精度_如何在锻炼应用程序中提高GPS跟踪精度

如何提高gps精度_如何在锻炼应用程序中提高GPS跟踪精度

如何提高gps精度l i g h t p o e t/Shutterstocklightpoet /快门Tracking your runs, bike rides, and other workouts is fun because you can see how much you’re improving (or, in my case, dismally failing to improve). For it to be effective, though, you have to …
阅读更多...
centos proftp_在CentOS上禁用ProFTP

centos proftp_在CentOS上禁用ProFTP

centos proftpI realize this is probably only relevant to about 3 of the readers, but I’m posting this so I don’t forget how to do it myself! In my efforts to ban the completely insecure FTP protocol from my life entirely, I’ve decided to disable the FTP…
阅读更多...
Java通过Executors提供四种线程池

Java通过Executors提供四种线程池

http://cuisuqiang.iteye.com/blog/2019372 Java通过Executors提供四种线程池&#xff0c;分别为&#xff1a;newCachedThreadPool创建一个可缓存线程池&#xff0c;如果线程池长度超过处理需要&#xff0c;可灵活回收空闲线程&#xff0c;若无可回收&#xff0c;则新建线程。n…
阅读更多...
一个在线编写前端代码的好玩的工具

一个在线编写前端代码的好玩的工具

https://codesandbox.io/ 可以编写 Angular&#xff0c;React&#xff0c;Vue 等前端代码。 可以实时编辑和 preview。 live 功能&#xff0c;可以多人协作编辑&#xff0c;不过是收费的功能。 可以增加依赖的包&#xff0c;比如编写 React 时&#xff0c;可以安装任意的第三…
阅读更多...
MySQL数据库基础（五）——SQL查询

MySQL数据库基础（五）——SQL查询

MySQL数据库基础&#xff08;五&#xff09;——SQL查询 一、单表查询 1、查询所有字段 在SELECT语句中使用星号“”通配符查询所有字段在SELECT语句中指定所有字段select from TStudent; 2、查询指定字段 查询多个字段select Sname,sex,email from TStudent; 3、查询指定记录…
阅读更多...
使用生成器创建新的迭代模式

使用生成器创建新的迭代模式

一个函数中需要有一个 yield 语句即可将其转换为一个生成器。 def frange(start, stop, increment):x startwhile x < stop:yield xx incrementfor i in frange(0, 4, 2):print(i) # 0 2 一个生成器函数主要特征是它只会回应在迭代中使用到的 next 操作 def cutdata(n):p…
阅读更多...
前端异常捕获与上报

前端异常捕获与上报

在一般情况下我们代码报错啥的都会觉得 下图 然后现在来说下经常用的异常 1.try catch 这个是比较常见的异常捕获方式通常都是 使用try catch能够很好的捕获异常并对应进行相应处理&#xff0c;不至于让页面挂掉&#xff0c;但是其存在一些弊端&#xff0c;比如需要在捕获异常的…
阅读更多...
最新文章

Copyright @ 2022~2023