iOS逆向----恢复符号表

我不是女神ヾ 2022-03-12 14:53 741阅读 0赞

## 什么是符号表？ ##

> 符号表(Symbo Table)是一种用于语言翻译器（例如编译器和解释器）中的数据结构。在符号表中，程序源代码中的每个标识符都和它的声明或使用信息绑定在一起，比如其数据类型、作用域以及内存地址

## 获取符号表偏移前的地址 ##

当App准备上线打生产环境的包时，编译器会去掉符号表信息；所以在iOS逆向调试的时候，lldb调试中查看代码的函数调用栈时

**符号偏移前的地址 = 符号偏移后的地址(lldb断点地址) - ASLR偏移地址**

其中ASLR偏移地址是App启动后系统分配的内存区域的的首地址，在lldb中通过：

**image list -o -f**

来获取某一进程的ASLR地址。

## 恢复符号表 ##

方法其实很固定，就是使用[restore-symbol][]这个开源命令行工具。

### 恢复函数的符号表 ###

1.  克隆第三方库： git clone https://github.com/tobefuturer/restore-symbol
2.  到库目录里： cd restore-symbol
3.  编译成功后会在当前目录生成一个 restore-symbol 可执行文件
4.  在macOS终端运行(设置为全局命令)： sudo cp ./restore-symbol /usr/local/bin。或者自己手动拷贝到/usr/local/bin目录下也可以
5.  给已经砸壳的IPA文件瘦身：lipo -info xxx 查看是否是fat的文件，如果是fat的文件，fat文件瘦身：lipo xxx-thin arm64 -output xxx.arm64
6.  获取符号表：restore-symbol xxx.arm64 -o xxx.symbol
7.  然后将xxx.symbol替换IPA包里原来的xxx二进制，记得给xxx.symbol改名啊
8.  扔到[IPAPatch][]里调试吧

### 恢复block的符号表 ###

iOS中 block 是一段特殊的代码块，反汇编后再汇编语言中以sub\_xxxx表示，例如：sub\_123456ASD，我们恢复block的符号表需要借助IDA和python脚本来实现，需要下载[这个脚本][Link 1]

1.  Mac版IDAfn+Alt+F7打开脚本，或者menu+文件+Script file 加载
2.  IDA控制台输出Search completed表示(也有可能不出现，截图中没出现，但是已经有block\_symbol.json文件了)，恢复完成。在IDA打开文件路径有：block\_symbol.json![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3lvdXNoYW9kdW8_size_16_color_FFFFFF_t_70]  
    ![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3lvdXNoYW9kdW8_size_16_color_FFFFFF_t_70 1]
3.  在原先恢复函数符号表的Mach-O文件中，继续恢复Block符号表restore-symbol xxx.symbol -o xxx.symbol -j block\_symbol.json  
    ![在这里插入图片描述][20190306115839217.png]
4.  然后重新打包用IPAPatch运行即可

[restore-symbol]: https://github.com/tobefuturer/restore-symbol
[IPAPatch]: https://github.com/youshaoduo/IPAPatch
[Link 1]: https://github.com/tobefuturer/restore-symbol/blob/master/search_oc_block/ida_search_block.py
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3lvdXNoYW9kdW8_size_16_color_FFFFFF_t_70]: /images/20220312/66c01a4ec7424c10aef96b0d6f8e490d.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3lvdXNoYW9kdW8_size_16_color_FFFFFF_t_70 1]: /images/20220312/9c9a958b6c3d4af1b275cd1617ebbb11.png
[20190306115839217.png]: /images/20220312/5c4e142b436145058cb8545f07cd533f.png