如何对MachO文件进行内存调试

2023-02-27 本文已影响0人 song91425

| 导语本文主要介绍如何打内存断点进入第三方的MachO文件，必备工具协助工具MachOView、Hopper

1 MachOView和Hopper解析后的效果图

MachOView 解析的结果，请留意Offset和pFile字段

image.png

Hopper解析的结果图

image.png

2 如何查看MachO文件的虚拟内存大小

通过MachOView的VM size字段可以查看虚拟内存的大小，如下图所示，虚拟内存大小为42949674296(十进制) = 4G（2^32），对应的16进制为：0x100000000

image.png

3 MachOView和Hopper的地址的差别

在MachOView文件中Offset和pFile字段表示的该地址相对MachO文件的偏移，它们需要加上VM Size才是真正的虚拟地址，Hopper解析后地址直接是虚拟地址。它们2个的关系为：

Hopper = offset/pFile + VM size

4 如何找到某个方法在运行的时候对应的内存地址

以下面这段代码为例

-(void)eatWithObject:(NSString *)objc{
    NSLog(@"吃到了%@",objc);
}

-(void)touchesBegan:(NSSet<UITouch *> *)touches withEvent:(UIEvent *)event
{
    [self eatWithObject:@"汉堡！"];
}

通过Hopper查看上面代码对应的MachO文件，如下图：eatWithObject在MachO文件的虚拟内存为:0x0000000100005ea4，相对MachO文件的偏移为：0x0000000100005ea4 - 0x100000000 = 5ea4

image.png

4.1 如何查看MachO文件在内存中的物理地址

通过命令：image list 可以查看加载MachO文件在内存中的物理地址，如下图，MachO文件在内存的地址是：0x00000001024d8000

image.png

4.2 eatWithObject:方法的物理内存地址

公式：eatWithObject的物理内存地址 = MachO文件的内存地址 + eatWithObject在MachO文件中的偏移地址
例子：用MachO文件在内存的地址0x00000001024d8000加上eatWithObject在MachO文件的偏移地址5ea4，就可以得到本次运行eatWithObject方法在内存中的物理地址 = 0x00000001024d8000 + 0x5ea4 = 0x1024DDEA4
设置断点：通过 b -a 0x1024DDEA4设置一个内存地址，可见断点设置成功，并且再点击屏幕，能够正确命中，如下图

image.png

5 ASLR：地址空间配置随机

计算公式：ASLR = 物理地址 - 虚拟地址
- 这个ASLR在每次程序运行的时候都会不同，但是可以通过image list 命令得到MachO文件的物理地址，通过查MachO文件的虚拟内存为0x100000000；所以ASLR = 通过image list可以得到MachO文件的内存地址 - MachO文件的虚拟地址 = 0x1024d8000 - 0x100000000 = 24d8000
测试：
- 通过上面可以知道ASLR为24d8000，而从Hopper中可以找到eatWithObject虚拟地址为0x100005ea4，那么执行lldb设置断点：b -a 0x24d8000+0x100005ea4，效果如图所示，成功新增了一个断点。

image.png

6 通过某个物理地址，查找MachO文件的虚拟地址

通过公式ASLR = 物理地址 - 虚拟地址 ，所以假设我们知道某个对象的物理地址，就可以反推出这个对象在MachO文件中的虚拟地址。

测试：

定义int a = 10;的全局变量

通过:image list 得到MachO文件的在此次运行的内存地址：0x0000000104360000，则可以计算出ASLR地址为：0x4360000
通过查看变量A的地址：p &a ==> 0x0000000104369318
那么全局变量a在MachO中的地址为： 0x0000000104369318 - 0x4360000 = 0x100009318
MachO文件的虚拟内存为：0x100000000，则全局变量a在MachO文件的偏移地址为0x9318，通过MachOView查看MachO文件9318这个位置的值是0A恰好是10。而在Hopper中直接查0x100009318地址所对应的值也是10。如下图所示。