macOS 下 C++ 的逆向

最近在看一个关于后台开发的相关书籍，书籍前面的内容是回顾 C++ 的基础，再跟着复习一下，本身基础就不是特别的好。

写 C++ 的过程中，顺便使用 ht 来看两眼反汇编代码，其实对于 macOS 下的逆向不是特别了解，但是多少有一点关于 Windows 下的基础。

逆向的代码比较简单的，是一个函数重载的例子，其实是书上的例子代码，代码如下：

int min(int a, int b, int c)
{
    if (a > b) a = b;
    if (a > c) a = c;

    return a;
}

long long min(long long a, long long b, long long c)
{
    if (a > b) a = b;
    if (a > c) a = c;

    return a;
}

double min(double a, double b)
{
    if (a - b > (1e-5)) a = b;

    return a;
}

代码并不复杂，就是函数重载，使用 ht 进行一下反汇编，查看一下其反汇编代码，代码如下：

100000b10 !                                                                                                             │
│       ......... ! ;********************************************************                                                   │
│       ......... ! ; function min(int, int, int)                                                                               │
│       ......... ! ;********************************************************                                                   │
│       ......... ! __Z3miniii:                     ;xref c100000c0d                                                            │


100000b50 !                                                                                                             │
│       ......... ! ;********************************************************                                                   │
│       ......... ! ; function min(long long, long long, long long)                                                             │
│       ......... ! ;********************************************************                                                   │
│       ......... ! __Z3minxxx:                     ;xref c100000c57                                                            │
│       ......... ! 55                               push        rbp

100000ba0 !                                                                                                             │
│       ......... ! ;********************************************************                                                   │
│       ......... ! ; function min(double, double)                                                                              │
│       ......... ! ;********************************************************                                                   │
│       ......... ! __Z3mindd:                      ;xref c100000ca2                                                            │
│       ......... ! 55                               push        rbp

通过截取的代码可以看出，ht 识别出了三个 min 函数，并且声称了相应的注释。

比如：
__Z3miniii 这部分可以看出，函数名称为 min ，三个参数分别是 i i i，也就是 3 个 int 类型。

除此之外，macOS 的参数传递竟然使用的寄存器，对它的调用约定不是了解。有机会找找资料了解一下。代码如下：

        100000c2f !   mov         qword ptr [rbp-18h], 64h                                                                      │
│       100000c37 !   mov         qword ptr [rbp-20h], 0c8h                                                                     │
│       100000c3f !   mov         qword ptr [rbp-28h], 12ch                                                                     │
│       100000c47 !   mov         rdi, [rbp-18h]                                                                                │
│       100000c4b !   mov         rsi, [rbp-20h]                                                                                │
│       100000c4f !   mov         rdx, [rbp-28h]                                                                                │
│       100000c53 !   mov         [rbp-40h], rax                                                                                │
│       100000c57 !   call        __Z3minxxx

可以看出，调用 long long 类型的 min 函数时，传参使用了 rdi、rsi、rdx 三个寄存器，对于调用 double 类型的 min 函数时使用的寄存器又不相同，反汇编代码如下：

│       100000c7a !   movsd       xmm0, [data_100000f60]                                                                        │
│       100000c82 !   movsd       xmm1, [data_100000f68]                                                                        │
│       100000c8a !   movsd       [rbp-30h], xmm1                                                                               │
│       100000c8f !   movsd       [rbp-38h], xmm0                                                                               │
│       100000c94 !   movsd       xmm0, [rbp-30h]                                                                               │
│       100000c99 !   movsd       xmm1, [rbp-38h]                                                                               │
│       100000c9e !   mov         [rbp-48h], rax                                                                                │
│       100000ca2 !   call        __Z3mindd

可以看到，这里使用了 xmm0 和 xmm1 两个寄存器。

对 macOS 的逆向分析不熟悉，逆向在一边写代码一边看反汇编代码也可以逐步的提升。当然，要是能系统的了解了解就更好了。

---

我的微信公众号：“码农UP2U”