【iOS逆向】-- debugserver

2018-12-12

Xcode 为什么可以调试APP?

平时开发中当我们给代码打断点，调试程序（lldb），这一切都离不开一个媒介debugserver，它负责将lldb指令给到app，然后app将结果通过debugserver传给lldb

debugserver一开始是在Xcode中的，一旦手机连接Xcode信任后，debugserver便会安装到手机上

Xcode目录： /Applications/Xcode.app/Contents/Developer/Platforms/iPhoneOS.platform/DeviceSupport/9.1/DeveloperDiskImage.dmg/usr/bin/debugserver；
iPhone目录：/Developer/usr/bin/debugserver

但是缺少task_for_pid权限，通过Xcode安装的debugserver，只能调试自己的app,要想逆向别人的app，这种肯定是行不通的。前面说到，不能调试别人app的原因是权限不够，要想在没有源码的情况下调试别人的app，就需要修改debugserver权限。

更改`debugserver` 权限

认识debugserver

放在/Developer/usr/bin/debugserver是没有调试其他app的权限的，现在的做法是先把iPhone上的debugserver放到电脑上修改好权限再放回手机上，已达到可以调试其他app的目的。

拖到MachOView中可以看到这是个胖二进制文件

给debugserver瘦身

由于debugserver是个胖二进制文件，我的越狱手机是iPhone6plus、iOS9.0.1是arm64架构的，我们只要流行arm64即可使用lipo命令

1 2	lipo -thin arm64 ./debugserver -o ./debugserver_arm64

为了方便将debugserver_arm64改为debugserver，下面的提到的debugserver指的都是debugserver_arm64。

给debugserver增加 task_for_pid权限

查看`debugserver`原来的权限

通过ldid查看原来的命令

➜  debugserver ldid -e ./debugserver
<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
	<key>com.apple.backboardd.debugapplications</key>
	<true/>
	<key>com.apple.backboardd.launchapplications</key>
	<true/>
	<key>com.apple.diagnosticd.diagnostic</key>
	<true/>
	<key>com.apple.frontboard.debugapplications</key>
	<true/>
	<key>com.apple.frontboard.launchapplications</key>
	<true/>
	<key>com.apple.security.network.client</key>
	<true/>
	<key>com.apple.security.network.server</key>
	<true/>
	<key>com.apple.springboard.debugapplications</key>
	<true/>
	<key>run-unsigned-code</key>
	<true/>
	<key>seatbelt-profiles</key>
	<array>
		<string>debugserver</string>
	</array>
</dict>
</plist>

将旧的权限输出到entitlement.plist文件中

1	➜ debugserver ldid -e ./debugserver > ./entitlement.plist

在entitlement.plist增加一个task_for_pid-allow

重签名`debugserver`

将改好的entitlement.plist重签debugserver

1	➜ debugserver ldid -Sentitlement.plist debugserver

再次查看debugserver权限确认是否添加成功

1
2
3

➜  debugserver ldid -e ./debugserver | grep task_for_pid-allow
	<key>task_for_pid-allow</key>
➜  debugserver

说明成功添加

将`debugserver` 放回到手机

前面已经赋予了debugserver可以调试其他app的权限了，接下来放回到手机上使用。

此时我们把修改后的debugserver放到手机的/usr/bin/目录下，原因有2个

手机上原来的debugserver存放的目录/Developer/usr/bin/debugserver是只读的；
放到/usr/bin/下可以在手机上直接敲debugserver方便使用

顺便增加执行权限

1	iPhone:~ root# chmod +x /usr/bin/debugserver

1
2
3

iPhone:~ root# ls -l /usr/bin/debugserver
-rwxr-xr-x 1 root wheel 4646672 Dec  9 15:49 /usr/bin/debugserver
iPhone:~ root#

用`debugserver`启动或附加进程

启动进程

1	debugserver -x backboard IP:port /path/to/executable

debugserver会启动executable，并开启port端口，等待来自IP的LLDB接入。

先实现一个打开系统的app,iPhone系统应用都放在/Applications下面

已打开系统的计算器为例

1	iPhone:~ root# debugserver -x backboard *:1234 /Applications/Calculator.app/Calculator

上面的代码会启动Calculator.app，并开启1234端口，等待任意IP地址的LLDB接入。

附加进程

1	debugserver IP:port -a "ProcessName"

debugserver会附加ProcessName，并开启port端口，等待来自IP的LLDB接入。

已打开手机上的新浪微博为例子

用户安装的app放在/var/mobile/Containers/Bundle/Application下

先点击新浪微博

iPhone:~ root# debugserver *:1234 -a "Weibo"
debugserver-@(#)PROGRAM:debugserver  PROJECT:debugserver-340.3.51.1
 for arm64.
Attaching to process Weibo...
Listening to port 1234 for a connection from *...

-a是附加的意思

`lldb`连接`debugserver`

现在手机端的服务已经开启。

先电脑端输入lldb指令

1 2	➜ ~ lldb (lldb)

连接服务

1	process connect connect://192.168.1.102:1234

ip就是手机的ip地址
1234就是端口

稍微等一会（1到2分钟吧）就会出现下面的东西

Process 4348 stopped
* thread #1, queue = 'com.apple.main-thread', stop reason = signal SIGSTOP
    frame #0: 0x000000019b3c4c30 libsystem_kernel.dylib`mach_msg_trap + 8
libsystem_kernel.dylib`mach_msg_trap:
->  0x19b3c4c30 <+8>: ret

libsystem_kernel.dylib`mach_msg_overwrite_trap:
    0x19b3c4c34 <+0>: mov    x16, #-0x20
    0x19b3c4c38 <+4>: svc    #0x80
    0x19b3c4c3c <+8>: ret
Target 0: (Weibo) stopped.
(lldb)

此时的app是无法交互的我们输入c继续程序

1
2
3

(lldb) c
Process 4348 resuming
(lldb)

会发现微博可以交互了。

一个简单的demo

连接手机

1	ssh root@10.9.24.154

你也可以使用usb连接

开启手机服务

1	debugserver *:1234 -a 818

mac端输入`lldb`指令连接手机

➜  ~ lldb
(lldb) process connect connect://10.9.24.154:1234
Process 818 stopped
* thread #1, queue = 'com.apple.main-thread', stop reason = signal SIGSTOP
    frame #0: 0x000000019811cc30 libsystem_kernel.dylib`mach_msg_trap + 8
libsystem_kernel.dylib`mach_msg_trap:
->  0x19811cc30 <+8>: ret

libsystem_kernel.dylib`mach_msg_overwrite_trap:
    0x19811cc34 <+0>: mov    x16, #-0x20
    0x19811cc38 <+4>: svc    #0x80
    0x19811cc3c <+8>: ret
Target 0: (Debugserver) stopped.

计算`-[ViewController btnClick]:`的真实函数地址

查看ASLR

什么是ASLR

全称ASLR (Address Space Layout Randomization)每次进程启动时，同一进程的所有模块在虚拟内存中的起始地址都会产生随机偏移。就拿我们的例子来说，在虚拟内存的起始地址是0x0

我们先不考虑随机地址偏移，也就是说明了这个macho加载内存的时候_TEXT段的起始地址应该是0x100000000,但是如果有了偏移量，那么我们加上偏移量就能计算出内存中的真实地址了。

(lldb) image list -o -f
[  0] 0x00000000000dc000 /Users/fangshufeng/Library/Developer/Xcode/iOS DeviceSupport/9.0.1 (13A404)/Symbols/usr/lib/dyld
[  1] 0x00000000000b0000 /var/mobile/Containers/Bundle/Application/FA2608EB-E892-4C24-9272-F40908101AA0/Debugserver.app/Debugserver(0x00000001000b0000)
[  2] 0x00000001000c4000 /Library/MobileSubstrate/MobileSubstrate.dylib(0x00000001000c4000)

[...]

第一列[X]是模块的序
第二列是模块在虚拟内存中的起始地址因ASLR 而产生的随机偏移（以下简称ASLR偏移）；
第三列是模块的全路径，括号里是偏移之后的起始地址。

可以看到偏移量为0x40000

hopper查看再Macho中的值

所以真实的函数地址是 = 0x00000000000b0000 + 0x0000000100006738 == 0x1000B6738;

在`-[ViewController btnClick]:`设置断点

1
2
3

(lldb) breakpoint set -a 0x1000B6738
Breakpoint 3: where = Debugserver`-[ViewController btnClick], address = 0x00000001000b6738
(lldb)

输入`c`继续程序

点击按钮

(lldb) breakpoint set -a 0x1000B6738
Breakpoint 3: where = Debugserver`-[ViewController btnClick], address = 0x00000001000b6738
(lldb) c
* thread #1, queue = 'com.apple.main-thread', stop reason = breakpoint 3.1
    frame #0: 0x00000001000b6738 Debugserver`-[ViewController btnClick]
Debugserver`-[ViewController btnClick]:
->  0x1000b6738 <+0>:  sub    sp, sp, #0x20             ; =0x20
    0x1000b673c <+4>:  mov    w8, #0x14
    0x1000b6740 <+8>:  mov    w9, #0xa
    0x1000b6744 <+12>: str    x0, [sp, #0x18]
Target 0: (Debugserver) stopped.
(lldb)

可以看到已经断到了方法处，可以和hopper的内容对比一看是一样的。

简单使用`lldb`指令

(lldb) ni
Process 1083 stopped
* thread #1, queue = 'com.apple.main-thread', stop reason = instruction step over
    frame #0: 0x000000018818a3e4 UIKit`<redacted> + 100
UIKit`<redacted>:
->  0x18818a3e4 <+100>: cmp    x22, #0x0                 ; =0x0
    0x18818a3e8 <+104>: cset   w0, ne
    0x18818a3ec <+108>: ldp    x29, x30, [sp, #0x20]
    0x18818a3f0 <+112>: ldp    x20, x19, [sp, #0x10]
Target 0: (Debugserver) stopped.
(lldb) ni
Process 1083 stopped
* thread #1, queue = 'com.apple.main-thread', stop reason = instruction step over
    frame #0: 0x000000018818a3e8 UIKit`<redacted> + 104
UIKit`<redacted>:
->  0x18818a3e8 <+104>: cset   w0, ne
    0x18818a3ec <+108>: ldp    x29, x30, [sp, #0x20]
    0x18818a3f0 <+112>: ldp    x20, x19, [sp, #0x10]
    0x18818a3f4 <+116>: ldp    x22, x21, [sp], #0x30
Target 0: (Debugserver) stopped.
(lldb)

打印寄存器的值


(lldb) po $w8
20

(lldb) p $w9
(unsigned int) $1 = 10
(lldb)

打印层级

(lldb) po [[[UIApplication sharedApplication] keyWindow] recursiveDescription]
<UIWindow: 0x14c63e650; frame = (0 0; 414 736); autoresize = W+H; gestureRecognizers = <NSArray: 0x14c637830>; layer = <UIWindowLayer: 0x14c63d3c0>>
   | <UIView: 0x14c54fe20; frame = (0 0; 414 736); autoresize = W+H; layer = <CALayer: 0x14c54f000>>
   |    | <_UILayoutGuide: 0x14c550280; frame = (0 0; 0 20); hidden = YES; layer = <CALayer: 0x14c54e040>>
   |    | <_UILayoutGuide: 0x14c550c30; frame = (0 736; 0 0); hidden = YES; layer = <CALayer: 0x14c63c690>>
   |    | <UIButton: 0x14c641240; frame = (100 100; 100 100); opaque = NO; layer = <CALayer: 0x14c6411f0>>
   |    |    | <UIButtonLabel: 0x14c63a3c0; frame = (23 39.3333; 54 21.6667); text = '点我啊'; opaque = NO; userInteractionEnabled = NO; layer = <_UILabelLayer: 0x14c633470>>
   |    |    |    | <_UILabelContentLayer: 0x14c651170> (layer)

(lldb)

给按钮加一个黄色背景

(lldb) po  [0x14c641240 setBackgroundColor:[UIColor yellowColor] ]
0x0000000000000001

(lldb) c
Process 1083 resuming
(lldb)

demo地址

（完）

访问量次