iOS逆向-04：if 、循环、switch
int g = 12;
int func(int a,int b){
printf("boy");
int c = a + g + b;
return c;
}
int main(int argc, char * argv[]) {
func(10, 20);
return UIApplicationMain(argc, argv, nil, NSStringFromClass([AppDelegate class]));
}
image.png
adrp
adrp(Address Page)
内存地址按页寻址
取常量
adrp x0, 1
这句代码的操作如下:
将1的值左移12位得到0x1000
将0x1048ae12c的低12位清零得到0x1048ae000
将0x1000和0x1048ae000相加得到0x1048af000
add x0, x0, #0xf89
0x1048af000 + 0xf89 = 0x1048aff89
此时x0的值为0x1048aff89，这个地址里面存的也就是"boy"
一个页的大小是4096，而0xFFF为4095，加上1就是0x1000（即4096），所以是1左移12位即可得到一个页的首地址（注：macOS的pageSize是 4k（0x1000），而iPhone的pageSize是16k（0x4000），但是16仍是4的倍数，adrp兼容者mac和iPhone，所以此时定位的仍然是一页数据）
全局变量也是一样
image.png
Hopper反汇编
image.png
image.png
image.png
全局变量g = 0xc 也就是12
也可以通过mach-o来查看
image.png
image.png
还原代码
int gl = 12;
int funcC(int a, int b) {
// 0000000100006118 sub sp, sp, #0x20 ; CODE XREF=_main+32
// 000000010000611c stp x29, x30, [sp, #0x10]
// 0000000100006120 add x29, sp, #0x10
// 0000000100006124 stur w0, [x29, #-0x4]
// 0000000100006128 str w1, [sp, #0x8]
// 000000010000612c adrp x0, #0x100007000 ; argument #1 for method imp___stubs__printf
// 0000000100006130 add x0, x0, #0xf89 ; "boy"
// 0000000100006134 bl imp___stubs__printf
printf("boy");
// 0000000100006138 ldur w8, [x29, #-0x4]
int w8 = a;
// 000000010000613c adrp x9, #0x10000d000
// 0000000100006140 add x9, x9, #0x570 ; _g
int x9 = gl;
// 0000000100006144 ldr w10, x9
// 0000000100006148 add w8, w8, w10
int w10 = x9;
w8 = w8 + w10;
// 000000010000614c ldr w10, [sp, #0x8]
w10 = b;
// 0000000100006150 add w8, w8, w10
w8 += w10;
// 0000000100006154 str w8, [sp, #0x4]
// 0000000100006158 ldr w8, [sp, #0x4]
// 000000010000615c mov x0, x8
int w0 = w8;
// 0000000100006160 ldp x29, x30, [sp, #0x10]
// 0000000100006164 add sp, sp, #0x20
return w0;
}
继续精简还原
从下往上还原
int funcC(int a, int b) {
printf("boy");
int w8 = a;
int x9 = gl;
int w10 = x9;
w8 = w8 + w10;
// w10 = b;
// w8 += w10;
// int w0 = w8;
// return w0;
return w8+b;//上面几句还原
}
依次类推得到最终结果
int gl = 12;
int funcC(int a, int b) {
printf("boy");
return a+gl+b;
}
if 语句
我们看看下面代码的汇编
int g = 12;
void func(int a,int b){
if (a > b) {
g = a;
}else{
g = b;
}
}
image.png
通过上面可以看出if else 判断就是 通过cmp + 标号实现的，大于小于都是通过cmp相减。
cmp（Compare）比较指令
CMP 把一个寄存器的内容和另一个寄存器的内容或立即数进行比较。但不存储结果，只是正确的更改标志。
一般CMP做完判断后会进行跳转，后面通常会跟上B指令！
- BL 标号：跳转到标号处执行
- B.GT 标号：比较结果是大于（greater than），执行标号，否则不跳转
- B.GE 标号：比较结果是大于等于（greater than or equal to），执行标号，否则不跳转
- B.EQ 标号：比较结果是等于，执行标号，否则不跳转
- B.HI 标号：比较结果是无符号大于，执行标号，否则不跳转
- B.LT 标号：比较结果是小于，执行标号，否则不跳转
- B.LE 标号：比较结果是小于等于，执行标号，否则不跳转
- B.NE 标号：比较结果是不等于，执行标号，否则不跳转
- B.LS 标号：比较结果是无符号小于等于，执行标号，否则不跳转
- B.LO 标号：比较结果是无符号小于，执行标号，否则不跳转
- B.HI 标号：比较结果是无符号大于，执行标号，否则不跳转
- B.HS 标号：比较结果是无符号大于等于，执行标号，否则不跳转
循环
for (int i = 0; i < 100; i++) {
nSum = nSum + 1;
}
image.png
Switch
1、假设switch语句的分支比较少的时候（例如3，少于4的时候没有意义）没有必要使用此结构，相当于if。
2、各个分支常量的差值较大的时候，编译器会在效率还是内存进行取舍，这个时候编译器还是会编译成类似于if，else的结构。
3、在分支比较多的时候：在编译的时候会生成一个表（跳转表每个地址四个字节）。
1 .当有三个case时，可以看到汇编和if else if 是一样的
image.png
image.png
