抱歉，您的浏览器无法访问本站

本页面需要浏览器支持（启用）JavaScript


了解详情 >
This is a picture without description

使用Python脚本强化LLDB调试器

This is a picture without description

才怪
学习园地逆向工程

发布于：2015年10月24日

LLDB是Xcode自带的调试器，作为一个iOS应用开发程序员，平时我在开发应用时会使用LLDB来调试代码。在逆向应用时，也会用到LLDB来跟踪应用的执行过程。

LLDB还内置了一个Python解析器，使用Python脚本可以方便LLDB的调试，比如自动化执行一些命令，或者自动化处理数据之类的，具体说明可以参考官方的文档：《LLDB Python Reference》。

以下就以一个具体的例子来演示一个Python脚本的编写过程：

一、获取方法的偏移地址

运行系统自带的计算器Calculator.app：
This is a picture without description

可以看到计算器的菜单里有一个关于计算器的选项：
This is a picture without description

如果我们要在点击关于计算器事件断下来的话，就要给这个方法设置一个断点。

先找到计算器的可执行文件的路径，路径为：/Applications/Calculator.app/Contents/MacOS/Calculator。
打开Hopper Disassembler反汇编调试器，将可执行文件拖进去，等待Hopper分析完成。

在左侧的搜索框输入"showabout"，会搜索到一个结果：
This is a picture without description

点击这个结果，会跳转到该方法的汇编代码处：

1
2
3
4
5
6
7
8
9
10
11
12
                     -[CalculatorController showAbout:]:
00000001000093dd         push       rbp                                         ; Objective C Implementation defined at 0x1000188d0 (instance)
00000001000093de         mov        rbp, rsp
00000001000093e1         mov        rdi, qword [ds:objc_cls_ref_NSDictionary]   ; objc_cls_ref_NSDictionary, argument "instance" for method imp___got__objc_msgSend
00000001000093e8         mov        rsi, qword [ds:0x10001b6f0]                 ; @selector(dictionaryWithObject:forKey:), argument "selector" for method imp___got__objc_msgSend
00000001000093ef         lea        rdx, qword [ds:cfstring_2000]               ; @"2000"
00000001000093f6         lea        rcx, qword [ds:cfstring_CopyrightStartYear] ; @"CopyrightStartYear"
00000001000093fd         call       qword [ds:imp___got__objc_msgSend]
0000000100009403         mov        rdi, rax
0000000100009406         pop        rbp
0000000100009407         jmp        imp___stubs__NSShowSystemInfoPanel
                        ; endp

由汇编代码可知[CalculatorController showAbout:]方法在文件中的偏移地址为0x00000001000093dd。

二、使用LLDB调试器设置断点

接下来运行终端，执行以下命令，让LLDB调试器依附计算器的进程：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
Jobs: ~$ ps aux | grep Calculator
Jobs            79888   0.0  0.1  2781792  11620   ??  S     6:21下午   0:01.07 /Applications/Calculator.app/Contents/MacOS/Calculator
Jobs            80204   0.0  0.0  2432772    568 s002  R+    6:26下午   0:00.00 grep Calculator

Jobs: ~$ lldb -p 79888
(lldb) process attach --pid 79888
Process 79888 stopped
* thread #1: tid = 0x6030af, 0x00007fff912d34de libsystem_kernel.dylib`mach_msg_trap + 10, queue = 'com.apple.main-thread', stop reason = signal SIGSTOP
    frame #0: 0x00007fff912d34de libsystem_kernel.dylib`mach_msg_trap + 10
libsystem_kernel.dylib`mach_msg_trap:
->  0x7fff912d34de <+10>: retq
    0x7fff912d34df <+11>: nop

libsystem_kernel.dylib`mach_msg_overwrite_trap:
    0x7fff912d34e0 <+0>:  movq   %rcx, %r10
    0x7fff912d34e3 <+3>:  movl   $0x1000020, %eax

Executable module set to "/Applications/Calculator.app/Contents/MacOS/Calculator".
Architecture set to: x86_64h-apple-macosx.

(lldb) continue
Process 79888 resuming

接着执行以下命令获取应用的ASLR偏移地址：

1
2
3
4
5
(lldb) image list -o
[  0] 0x000000000cafa000
[  1] 0x00007fff93d51000
[  2] 0x000000010cb1e000
......

第一行数据的16进制地址0x000000000cafa000就是应用的ASLR偏移地址，之前我们已经找到了[CalculatorController showAbout:]方法的偏移地址是0x00000001000093dd，那么该方法在内存中的地址就是0x000000000cafa000 + 0x00000001000093dd。

所以我们可以执行下面的命令来给这个方法设置断点，注意加号两边不要有空格：

1
2
(lldb) br set -a "0x000000000cafa000+0x00000001000093dd"
Breakpoint 1: where = Calculator`___lldb_unnamed_function161$$Calculator, address = 0x000000010cb033dd

这时点击菜单的关于计算器选项，程序就会断下来：

1
2
3
4
5
6
7
8
Process 79888 stopped
* thread #1: tid = 0x6709de, 0x000000010cb033dd Calculator`___lldb_unnamed_function161$$Calculator, queue = 'com.apple.main-thread', stop reason = breakpoint 2.1
    frame #0: 0x000000010cb033dd Calculator`___lldb_unnamed_function161$$Calculator
Calculator`___lldb_unnamed_function161$$Calculator:
->  0x10cb033dd <+0>:  pushq  %rbp
    0x10cb033de <+1>:  movq   %rsp, %rbp
    0x10cb033e1 <+4>:  movq   0x12b98(%rip), %rdi       ; (void *)0x00007fff78684488: NSDictionary
    0x10cb033e8 <+11>: movq   0x12301(%rip), %rsi       ; "dictionaryWithObject:forKey:"

三、编写Python脚本

那么问题来了，我们每次调试应用都要先手动获取ASLR偏移地址，如果要给多个地址打断点的话，就要写很多遍”ASLR偏移地址+方法偏移地址”，操作比较繁琐。如果这些重复性的操作可以自动完成的话，在平时的使用过程中应该能节省不少时间。

用Python就可以很方便地实现这个功能，接下来我们就来写一个简单的脚本，以简化设置断点的操作。脚本的主要功能是自动获取应用的ASLR地址，用户设置断点时只需输入方法在文件中的的偏移地址，脚本会自动把ASLR偏移地址和方法偏移地址相加，再设置断点。

新建一个Python文件，保存至~/sbr.py，代码如下：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
#!/usr/bin/python
#coding:utf-8

import lldb
import commands
import optparse
import shlex
import re


# 获取ASLR偏移地址
def get_ASLR():
    # 获取'image list -o'命令的返回结果
    interpreter = lldb.debugger.GetCommandInterpreter()
    returnObject = lldb.SBCommandReturnObject()
    interpreter.HandleCommand('image list -o', returnObject)
    output = returnObject.GetOutput();
    # 正则匹配出第一个0x开头的16进制地址
    match = re.match(r'.+(0x[0-9a-fA-F]+)', output)
    if match:
        return match.group(1)
    else:
        return None

# Super breakpoint
def sbr(debugger, command, result, internal_dict):

    #用户是否输入了地址参数
    if not command:
        print >>result, 'Please input the address!'
        return

    ASLR = get_ASLR()
    if ASLR:
        #如果找到了ASLR偏移，就设置断点
        debugger.HandleCommand('br set -a "%s+%s"' % (ASLR, command))
    else:
        print >>result, 'ASLR not found!'

# And the initialization code to add your commands 
def __lldb_init_module(debugger, internal_dict):
    # 'command script add sbr' : 给lldb增加一个'sbr'命令
    # '-f sbr.sbr' : 该命令调用了sbr文件的sbr函数
    debugger.HandleCommand('command script add sbr -f sbr.sbr')
    print 'The "sbr" python command has been installed and is ready for use.'

然后在LLDB中执行下面的语句就可以把脚本导入到LLDB：

1
2
(lldb) command script import ~/sbr.py
The "sbr" python command has been installed and is ready for use.

输出结果表示名为sbr的Python命令已经装载好并可以使用了。
sbr是Super breakpoint的意思，只需接收一个方法偏移地址作为参数。
接下来验证一下效果，先清除断点列表，再用sbr命令来设置断点。

1
2
3
4
5
6
(lldb) br delete
About to delete all breakpoints, do you want to do that?: [Y/n] y
All breakpoints removed. (1 breakpoint)

(lldb) sbr 0x00000001000093dd
Breakpoint 2: where = Calculator`___lldb_unnamed_function161$$Calculator, address = 0x000000010cb033dd

这时点击菜单的关于计算器选项，方法也成功断下来了。

四、启动LLDB时自动加载Python脚本

对于经常要使用到的脚本，可以在LLDB的初始化文件里添加命令加载脚本，这样LLDB启动后就能使用自定义的命令了。
修改~/.lldbinit文件，在文件里加入一行：

1
command script import ~/sbr.py

重新进入LLDB，可以看到脚本已经自动加载了：

1
2
3
4
Jobs: ~$ lldb
The "sbr" python command has been installed and is ready for use.
(lldb) command source -s 1 '/Users/Jobs/./.lldbinit'
The "sbr" python command has been installed and is ready for use.

博客内容遵循 署名-非商业性使用-相同方式共享 4.0 国际 (CC BY-NC-SA 4.0) 协议

本文永久链接是：https://www.poboke.com/enhanced-lldb-debugger-with-python-script.html

更新于：2021年8月15日

Python

逆向

评论