iOS逆向(7)-LLDB,自制LLDB脚本,窜改微信红包金额

比眉伴天荒 2022-10-01 05:49 192阅读 0赞

在上篇文章[从fishhook看runtime，hook系统C函数][fishhook_runtime_hook_C]中已经提到了利用LLDB的部分命令。在我们玩逆向的时候在大多数时候其实是拿不到源码的。所以了解一些LLDB来辅助我对别人APP的学(破)习(坏)，是非常有必要的。

自从开始玩逆向，总是会有一些大佬给我发一些转账信息（为什么不是发红包？红包金额有限制，拿不出手），金额还挺大。 都是类似于这样的。

那么道友们想不想都收到这样的红包呢？看完这篇文章，你就可以。如果没有人转给你，评论区告诉我，我给你转，说到做到！

废话不多说，这篇文章内容很简单，非常容易理解，但是需要记的东西比较多，理财师强烈推荐点个小心心，以备不时之需 O(∩\_∩)O哈哈~。

今天的DEMO也比较简单，可以在点击这里下载到： **[LLDB][]**

本文将介绍的内容如下：

*  LLDB
 *  自制LLDB脚本
 *  chisel
 *  DerekSelander-LLDB
 *  实操窜改微信红包

# 一、LLDB #

> 默认内置于Xcode中的动态调试工具。标准的 LLDB 提供了一组广泛的命令，旨在与老版本的 GDB 命令兼容。 除了使用标准配置外，还可以很容易地自定义 LLDB 以满足实际需要。

命令格式如下

<command> [<subcommand> [<subcommand>...]] + <action> + [-options [option-value]] + [argument [argument...]]
    复制代码

*  `[]`表示命令是可选的，可以有也可以没有
 *  `<command>`(命令)和`<subcommand>`(子命令)：`LLDB`调试命令的名称。命令和子命令按层级结构来排列：一个命令对象为跟随其的子命令对象创建一个上下文，子命令又为其子命令创建一个上下文，依此类推。
 *  `<action>`：我们想在前面的命令序列的上下文中执行的一些操作。
 *  `<options>`：行为修改器(action modifiers)。通常带有一些值。
 *  `<argument>`：根据使用的命令的上下文来表示各种不同的东西。

> The full lldb command names are often long, but any unique short form can be used. Instead of "breakpoint set", "br se" is also acceptable. 一般lldb的命令会很长，但是只要能够想出足够断，并且又能代表唯一性的缩写，那么缩写命令也是同一生效的如：`breakpoint set` == `br se`

LLDB的所有命令在 [LLVM官网][LLVM]或者[Apple官网][Apple] 都可以查询到。笔者会在这篇文章中列举一些比较常用的命令。

### 1、断点设置 ###

<table> 
 <thead> 
  <tr> 
   <th style="text-align:left;">命令名称</th> 
   <th style="text-align:left;">命令参样例</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td style="text-align:left;">使用名称设置断点</td> 
   <td style="text-align:left;">breakpoint set --name main</td> 
  </tr> 
  <tr> 
   <td style="text-align:left;">使用内存地址设置断点</td> 
   <td style="text-align:left;">breakpoint -a 0xXXXXXXXX</td> 
  </tr> 
  <tr> 
   <td style="text-align:left;">删除断点</td> 
   <td style="text-align:left;">breakpoint delete 1</td> 
  </tr> 
  <tr> 
   <td style="text-align:left;">使断点失效/生效</td> 
   <td style="text-align:left;">breakpoint disable/enable 2</td> 
  </tr> 
  <tr> 
   <td style="text-align:left;">查看所有断点</td> 
   <td style="text-align:left;">breakpoint list</td> 
  </tr> 
  <tr> 
   <td style="text-align:left;">OC中所有命名中包含为Test4的方法设置断点</td> 
   <td style="text-align:left;">breakpoint set -r Test4</td> 
  </tr> 
 </tbody> 
</table>

随意上两张样式图：

附带一张官网截图，这些命令都可以在 [这][LLVM] 找到

### 2、断点命令 ###

<table> 
 <thead> 
  <tr> 
   <th style="text-align:left;">命令名称</th> 
   <th style="text-align:left;">命令参样例</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td style="text-align:left;">给某一个断点增加命令</td> 
   <td style="text-align:left;">breakpoint command add 1</td> 
  </tr> 
  <tr> 
   <td style="text-align:left;">查看所有断点命令</td> 
   <td style="text-align:left;">breakpoint command list</td> 
  </tr> 
  <tr> 
   <td style="text-align:left;">删除断点命令</td> 
   <td style="text-align:left;">breakpoint command delete 1</td> 
  </tr> 
  <tr> 
   <td style="text-align:left;">使某个断点命令生效/失效</td> 
   <td style="text-align:left;">breakpoint command enable/disable</td> 
  </tr> 
  <tr> 
   <td style="text-align:left;">给某一个断点增加命令</td> 
   <td style="text-align:left;">breakpoint command delete</td> 
  </tr> 
 </tbody> 
</table>

给某一处断点加上一段代码，使其每次被断住的时候都可以自动执行终端代码，如下图：

### 3、执行代码 ###

`expression`就是执行代码的命令，也就是常用的`p`，按照官网所说的缩写唯一性原则`e`、`expr`，也是可以的。 如图：

### 4、查看堆栈，流程控制 ###

<table> 
 <thead> 
  <tr> 
   <th style="text-align:left;">命令名称</th> 
   <th style="text-align:left;">命令参样例</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td style="text-align:left;">查看当前所有堆栈</td> 
   <td style="text-align:left;">bt</td> 
  </tr> 
  <tr> 
   <td style="text-align:left;">返回上一步堆栈</td> 
   <td style="text-align:left;">up</td> 
  </tr> 
  <tr> 
   <td style="text-align:left;">查看某一条堆栈</td> 
   <td style="text-align:left;">frame select 1</td> 
  </tr> 
  <tr> 
   <td style="text-align:left;">查看当前堆栈的参数</td> 
   <td style="text-align:left;">frame variable</td> 
  </tr> 
  <tr> 
   <td style="text-align:left;">堆栈回滚到上一条</td> 
   <td style="text-align:left;">thread return</td> 
  </tr> 
  <tr> 
   <td style="text-align:left;">程序继续执行</td> 
   <td style="text-align:left;">c</td> 
  </tr> 
  <tr> 
   <td style="text-align:left;">单步下一步</td> 
   <td style="text-align:left;">n</td> 
  </tr> 
  <tr> 
   <td style="text-align:left;">进入下一个函数(方法)</td> 
   <td style="text-align:left;">s</td> 
  </tr> 
  <tr> 
   <td style="text-align:left;">汇编级别的单步下一步</td> 
   <td style="text-align:left;">ni</td> 
  </tr> 
  <tr> 
   <td style="text-align:left;">汇编级别的进入下一个函数(方法)</td> 
   <td style="text-align:left;">si</td> 
  </tr> 
 </tbody> 
</table>

同样是一张样式图：

### 5、内存断点 ###

某个属性地址只要有改变，就触发断点。相当于对某个属性设置了KVO。

<table> 
 <thead> 
  <tr> 
   <th style="text-align:left;">命令名称</th> 
   <th style="text-align:left;">命令参样例</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td style="text-align:left;">直接观察一个变量</td> 
   <td style="text-align:left;">watchpoint set variable global_var</td> 
  </tr> 
  <tr> 
   <td style="text-align:left;">直接观察一个变量的地址</td> 
   <td style="text-align:left;">watchpoint set expression -- 0xxxxxx</td> 
  </tr> 
  <tr> 
   <td style="text-align:left;">删除断点</td> 
   <td style="text-align:left;">watchpoint delete 1</td> 
  </tr> 
  <tr> 
   <td style="text-align:left;">使断点失效/生效</td> 
   <td style="text-align:left;">watchpoint disable/enable 2</td> 
  </tr> 
  <tr> 
   <td style="text-align:left;">查看所有断点</td> 
   <td style="text-align:left;">watchpoint list</td> 
  </tr> 
 </tbody> 
</table>

### 5、库文件image ###

<table> 
 <thead> 
  <tr> 
   <th style="text-align:left;">命令名称</th> 
   <th style="text-align:left;">命令参样例</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td style="text-align:left;">查看工程中使用的库(包括MachO自己)</td> 
   <td style="text-align:left;">image list</td> 
  </tr> 
  <tr> 
   <td style="text-align:left;">查找可执行文件或共享库的原始地址</td> 
   <td style="text-align:left;">image lookup --address 0x0000000100000de0</td> 
  </tr> 
  <tr> 
   <td style="text-align:left;">输出NSURL的成员变量及属性信息。</td> 
   <td style="text-align:left;">image lookup --type NSURL</td> 
  </tr> 
  <tr> 
   <td style="text-align:left;">导出可执行文件和共享库的所有符号表</td> 
   <td style="text-align:left;">image dump symtab</td> 
  </tr> 
 </tbody> 
</table>

### 7、HOOK每个断点 ###

给每个断点，都执行一段代码。

<table> 
 <thead> 
  <tr> 
   <th style="text-align:left;">命令名称</th> 
   <th style="text-align:left;">命令参样例</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td style="text-align:left;">增加一个HOOK</td> 
   <td style="text-align:left;">target stop-hook add -o "frame variable"</td> 
  </tr> 
  <tr> 
   <td style="text-align:left;">直接所有HOOK</td> 
   <td style="text-align:left;">target stop-hook list</td> 
  </tr> 
  <tr> 
   <td style="text-align:left;">删除HOOK</td> 
   <td style="text-align:left;">target stop-hook disable 1</td> 
  </tr> 
  <tr> 
   <td style="text-align:left;">使HOOK失效/生效</td> 
   <td style="text-align:left;">target stop-hook disable/enable 2</td> 
  </tr> 
 </tbody> 
</table>

### 8、寄存器&&内存 ###

<table> 
 <thead> 
  <tr> 
   <th style="text-align:left;">命令名称</th> 
   <th style="text-align:left;">命令参样例</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td style="text-align:left;">显示当前线程所有寄存器的值</td> 
   <td style="text-align:left;">register read --all</td> 
  </tr> 
  <tr> 
   <td style="text-align:left;">将0x01写入x2寄存器</td> 
   <td style="text-align:left;">register write x2 0x01</td> 
  </tr> 
  <tr> 
   <td style="text-align:left;">读取内存0x0002A8A2D中的的值</td> 
   <td style="text-align:left;">memory read 0x0002A8A2D (缩写x 0x0002A8A2D )</td> 
  </tr> 
 </tbody> 
</table>

### 9、支持Python ###

例如：

script print "Here is some text"
    复制代码

# 二、自制LLDB脚本 #

### 1、.lldbinit ###

LLDB本质上就跟一个程序（或者说进程）一样，每次启动LLDB的时候都会主动加载一个初始化文件，这个文件就是`.lldbinit`，他的地址位于根目录下：

~/
    复制代码

*如果你的根目录没有这个文件，那就只用`touch`创建一个吧*

// 创建.lldbinit
    touch ~/.lldbinit
    // 写入
    vi ~/.lldbinit
    // 查看
    cat ~/.lldbinit
    复制代码

在`.lldbinit`中写入如下代码

target stop-hook add -o "frame variable"
    复制代码

重启Xcode，运行工程，在任意一个地方加上断点。  
会发现当断点断住的时候，自动执行了`frame variable`

读到这就有一个很有意思的事情了：  
`.lldbinit`可以帮我们预加载部分命令，`LLDB`又支持Python语法，那么是不是可以将部分Python的代码封装起来，再利用`.lldbinit`的机制，进而就可以实现用我们自己的封装好的代码，让我们更方便的使用`LLDB`？

说干就干。

### 2、脚本实操 ###

之前我们使用过命令`image list`命令查看，查看App运行后再内存中的首地址（`ASLR`），这个地址其实是加上了`pagezero`的值，其实使用命令`image list -o`可以直接查看`ASLR`，如图：

然而我们每次只需要取的是第一个值，却打印出这么多的信息，有点烦人。这就可以写一个脚本每次取出第一个值，并且打印出来，就是我们要的结果：代码如下很短，当然也可以在这下载到： [lldbPyDemo.py][]

import lldb
    import re
    
    # 获取ASLR偏移地址
    def fy_get_ASLR(debugger, command, result, internal_dict):
        # 获取'image list -o'命令的返回结果
        interpreter = lldb.debugger.GetCommandInterpreter()
        returnObject = lldb.SBCommandReturnObject()
        interpreter.HandleCommand('image list -o', returnObject)
        output = returnObject.GetOutput();
        # 正则匹配出第一个0x开头的16进制地址
        match = re.match(r'.+(0x[0-9a-fA-F]+)', output)
        if match:
            print match.group(1)
        else:
            return None
    # And the initialization code to add your commands 
    def __lldb_init_module(debugger, internal_dict):
        # 'command script add fy_get_ASLR' : 给lldb增加一个'fy_get_ASLR'命令
        # '-f lldbPyDemo.fy_get_ASLR' : 该命令调用了lldbPyDemo文件的fy_get_ASLR函数
        debugger.HandleCommand('command script add fy_get_ASLR -f lldbPyDemo.fy_get_ASLR')
        print 'The "fy_get_ASLR" python command has been installed and is ready for use.'
    复制代码

同样的，每次都主动加载`lldbPyDemo.py`也有点烦，将其路径加入`.lldbinit`中，即可实现每次自动加载。

LLDB所有开放出来的接口都可以在[官方网站][Link 1]中找到，有兴趣的同学可以研究研究。

# 三、chisel #

> Chisel is a collection of LLDB commands to assist in the debugging of iOS apps. Chisel是一个用户Debug iOS Apps 的LLDB命令集合

以上介绍来自[chisel官网][chisel]。

由于其支持`brew`，安装使用的方法很简单：

brew update
    brew install chisel
    复制代码

如果本地没有`.lldbinit`文件，先在根目录创建再打开，否则直接打开

// 创建.lldbinit文件 
    touch .lldbinit 
    // 打开.lldbinit文件
    open .lldbinit 
    复制代码

然后在`.lldbinit`文件中追加如下命令

command script import /path/to/fblldb.py
    复制代码

重启`Xcode`即可使用。

以下挑了一些实用的命令：

<table> 
 <thead> 
  <tr> 
   <th style="text-align:left;">命令名称</th> 
   <th style="text-align:left;">命令描述</th> 
   <th style="text-align:left;">iOS</th> 
   <th style="text-align:left;">OS X</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td style="text-align:left;">pviews</td> 
   <td style="text-align:left;">打印当前KeyWindow的所有View</td> 
   <td style="text-align:left;">Yes</td> 
   <td style="text-align:left;">Yes</td> 
  </tr> 
  <tr> 
   <td style="text-align:left;">pvc</td> 
   <td style="text-align:left;">打印当前KeyWindow的所有VC</td> 
   <td style="text-align:left;">Yes</td> 
   <td style="text-align:left;">No</td> 
  </tr> 
  <tr> 
   <td style="text-align:left;">fv</td> 
   <td style="text-align:left;">根据正则表达式打印查找并打印View</td> 
   <td style="text-align:left;">Yes</td> 
   <td style="text-align:left;">No</td> 
  </tr> 
  <tr> 
   <td style="text-align:left;">fvc</td> 
   <td style="text-align:left;">根据正则表达式打印查找并打印VC</td> 
   <td style="text-align:left;">Yes</td> 
   <td style="text-align:left;">No</td> 
  </tr> 
  <tr> 
   <td style="text-align:left;">show/hide</td> 
   <td style="text-align:left;">在不需要continue的情况下显示/隐藏View或者Layer</td> 
   <td style="text-align:left;">Yes</td> 
   <td style="text-align:left;">Yes</td> 
  </tr> 
  <tr> 
   <td style="text-align:left;">bmessage</td> 
   <td style="text-align:left;">在类的方法或实例的方法上设置符号断点，就算没有实现显示的实现该刚发，也会触发。如viewWillAppear这个方法，在当前控制器中没有实现它，但是又想在调用它的时机触发中断。</td> 
   <td style="text-align:left;">Yes</td> 
   <td style="text-align:left;">Yes</td> 
  </tr> 
  <tr> 
   <td style="text-align:left;">wivar</td> 
   <td style="text-align:left;">相当于watchpoint</td> 
   <td style="text-align:left;">Yes</td> 
   <td style="text-align:left;">Yes</td> 
  </tr> 
 </tbody> 
</table>

下图是pviews和pvc的用例图：

# 四、DerekSelander-LLDB #

`DerekSelander-LLDB`同`chisel`一样是一个LLDB的脚本集合，大部分功能一致，但`DerekSelander-LLDB`有一个非常好用的功能：  
`sbt`:查看当前堆栈，并且尽可能的恢复符号表！  
这就很牛逼了，要知道在我们逆向的过程中，大部分研究的APP都是已经去符号的！  
\[站外图片上传中...(image-57c79-1554654483282)\]

具体使用同样也可以参照官网： [DerekSelander-LLDB][]

`DerekSelander-LLDB`的安装过程没有`chisel`那么花哨，不需要用到brew，安装过程如下（官网复制的，我就不翻译了）：

1、 To Install, copy the lldb_commands folder to a dir of your choosing.
    2、 Open up (or create) ~/.lldbinit
    3、 Add the following command to your ~/.lldbinit file: command script import /path/to/lldb_commands/dslldb.py
    复制代码

# 五、实操窜改微信红包 #

LLDB既然这么好用，那么我们就利用LLDB来继续分析一下我们可爱的微信，O(∩\_∩)O哈哈~。

利用之前文章[iOS逆向(4)-代码注入，窃取微信密码][iOS_4_-]讲到的方法，直接利用Xcode将微信运行在手机上。

随意让一个小伙伴自己的微信号发一个最大的红包(0.01元)，进入聊天页面如下图：

在这个地方断住程序，进入LLDB的调试页面。

输入上文提到的Chisel命令 `pviews`,会发现终端打印出了非常多的视图结构。直接搜索红包金额 `0.01`，找到对应的 `Label`，如下图：

从上图可以发现显示金额的控件是`MMUILabel`，很像一个UILabel，而且地址为`0x10e6c7d00`。 在根据LLDB的`p`命令执行更改文本的代码，如下：

p ((UILabel *)0x10e6c7d00).text = @"￥88888.88"
    复制代码

然后程序继续运行。可以看到微信的金额已经被改！

此时的金额只是一个静态被改变的字符串而已，实际上并不会让我们多一分钱或者少一分钱。

在普通的生活中，逆向其实是一件非常有意思的事情，在增加自己的知识面的同时，也能给予我们很多的欢乐，想想看这样一张截图往朋友圈一放是不是贼有面子。哈哈，也许你的朋友圈中各种红包转账截图也是这样来的呢？尤其是经常发这样的转账信息的代购们。

# 六、总结 #

这片文章的内容其实非常简单，首先介绍了一下LLDB的一下基本用法，从而得知其可以支持Python语法，又有`.lldbinit`文件可以帮我们自动加载脚本，所有就有了一个简单的LLDB脚本案例，之后又引出facebook出品的`Chiesl`和`DerekSelander-LLDB`两个脚本集合。最后就是利用LLDB进行一些简单的UI分析和执行简单的代码了。

但是，每次使用LLDB都需要断住程序，体验不是很好。那是不是有一种能力，可以让程序在正常运行的时候，我们也可以对APP进行实时的动态分析呢？  
答案是肯定的，神器`Cycript`就是这么一个存在，在下一篇文章中，将会围绕`Cycript`讲解一些逆向工程中非常非常重要的内容！

# 参考： #

*  [WWDC 2018：效率提升爆表的 Xcode 和 LLDB 调试技巧][WWDC 2018_ Xcode _ LLDB]
 *  [使用Python脚本强化LLDB调试器][Python_LLDB]
 *  [LLDB调试器使用简介 ][LLDB_]

转载于:https://juejin.im/post/5caad5d6f265da251d4b875a

[fishhook_runtime_hook_C]: https://link.juejin.im?target=https%3A%2F%2Fwww.jianshu.com%2Fp%2Fb6a72aa6c146
[LLDB]: https://link.juejin.im?target=https%3A%2F%2Fgithub.com%2Fdengbin9009%2FLLDB-Cycript
[LLVM]: https://link.juejin.im?target=https%3A%2F%2Flldb.llvm.org%2Flldb-gdb.html
[Apple]: https://link.juejin.im?target=https%3A%2F%2Fdeveloper.apple.com%2Flibrary%2Farchive%2Fdocumentation%2FIDEs%2FConceptual%2Fgdb_to_lldb_transition_guide%2Fdocument%2Flldb-command-examples.html%23%2F%2Fapple_ref%2Fdoc%2Fuid%2FTP40012917-CH3-SW5
[lldbPyDemo.py]: https://link.juejin.im?target=https%3A%2F%2Fgithub.com%2Fdengbin9009%2FLLDB%2Fblob%2Fmaster%2FlldbPyDemo.py
[Link 1]: https://link.juejin.im?target=http%3A%2F%2Flldb.llvm.org%2Fpython_reference%2F
[chisel]: https://link.juejin.im?target=https%3A%2F%2Fgithub.com%2Ffacebook%2Fchisel
[DerekSelander-LLDB]: https://link.juejin.im?target=https%3A%2F%2Fgithub.com%2FDerekSelander%2FLLDB%23lldb
[iOS_4_-]: https://link.juejin.im?target=https%3A%2F%2Fwww.jianshu.com%2Fp%2F31232eef35c5
[WWDC 2018_ Xcode _ LLDB]: https://juejin.im/post/5b1cd870e51d4506dc0ac76c
[Python_LLDB]: https://link.juejin.im?target=http%3A%2F%2Fwww.poboke.com%2Fstudy%2Fenhanced-lldb-debugger-with-python-script.html
[LLDB_]: https://link.juejin.im?target=http%3A%2F%2Fsouthpeak.github.io%2F2015%2F01%2F25%2Ftool-lldb%2F