使用IDA动态调试及ARM指令学习笔记

朱雀 2022-12-19 03:45 301阅读 0赞

本文介绍如何用IDA进行动态调试及部分ARM指令的学习。

环境：已root的安卓手机一部，IDA pro 6.8，win7系统。

下载样本app，并已确认**可调试(****debuggable** **= true)**，下文不表：

http://pan.baidu.com/s/1jG22HMY

一 手机连接电脑，打开USB调试模式，并在电脑端打开IDA的这个目录：

![format_png][]

二 通过adb push android\_server /data/local/tmp/ 命令将文件推送至手机：

![format_png 1][]

三 开启服务，注意这个窗口不能关闭：

![format_png 2][]

四 端口转发：

![format_png 3][]

五 打开IDA pro,我这里选择的是 32位的版本。

![format_png 4][]

六 开启远程调试，注意先打开手机上的样本app，调试需要该进程

![format_png 5][]

七 如图设置好 Hostname和 port：

![format_png 6][]

PS：端口是可以改的，有些app会检测端口进行反调试，通过修改端口可以绕过端口检测。

八 点击 OK按钮，并查找样本包名：

![format_png 7][]

九 加载完成后的界面：

![format_png 8][]

十 在右边的 Modules 面板搜索 so文件名：

![format_png 9][]

十一 双击需要进行调试的JNI函数：

![format_png 10][]

十二 设置断点，如图操作，其快捷键是 F2：

![format_png 11][]

十三 打开手机上的样例 app，按下F9，我们发现IDA停在了断点处：

![format_png 12][]

这样，我们就能愉快的进行动态调试了。

下面我们来分析这里面的部分汇编代码：

PUSH \{R3,LR\} ；将寄存器R3和LR的值分别压入栈中，

R0-R3:通用寄存器，用于函数参数及返回值的传递

LR: 连接返回寄存器，保留函数返回后，下一条应该执行的指令。

POP \{R3,PC\} ；将栈顶的值分别传递给寄存器R3和PC

![format_png 13][]

PC: 程序寄存器，保存下一条CPU即将执行指令的地址,这里原本LR里面的值传递给了PC寄存器，这样就返回到了当初函数调用的地方。

![format_png 14][]

SP:栈顶指针寄存器，用于存放栈顶地址

![format_png 15][]

按F8进行单步调试，继续分析下一条指令。

![format_png 16][]

我们可以看看按下F8后，SP的值。

![format_png 17][]

CMP R2, \#2 ;比较 R2寄存器里面的值与2的大小。比较结果通过标志寄存器来保存。目前R2的值是5，因此两个值是不等的。

![format_png 18][]

执行比较指令后，发现Z的值变为了0，也就是说比较的结果不为0.

![format_png 19][]

继续执行下一条指令:  
  
BEQ loc\_D7FD0C60 ；Z标志值为1则跳转，即上一调比较指令的结果为0；否则继续向下执行。  
  
继续往下走，走到这里：

![format_png 20][]

BNE loc\_D7FD0C5A ;Z标志值为0则跳转，即上一调比较指令的结果不为0；否则继续向下执行，与BEQ是相反的。  
  
通过上条指令的跳转后，来到了这里：

![format_png 21][]

LDR R1, =(aNormalUser - 0xD7FD0C60) ;把栈上内容载入一寄存器中，执行后，我们看到R1的值是：

![format_png 22][]

ADD R1, PC ; "Normal User"  
我们看到IDA后面自己的注释是 "Normal User"，也就是说这两条指令的目的是把 字符串 "Normal User" 所在的地址传递给R1，我们执行后看看R1的值：

![format_png 23][]

我们在十六进制面板看看 R1值所对应的是什么:  
鼠标在 十六进制面板 点击一下，然后按下G键，输入R1的值：

![format_png 24][]

点击OK后，跳转到了这里：

![format_png 25][]

这里确实是存放 "Normal User"这个字符串的地址。  
回到汇编窗口，继续执行下面这条指令：

![format_png 26][]

B loc\_D7FD0C64 ;无条件跳转到 loc\_D7FD0C64 处.  
  
执行后来到了这里：

![format_png 27][]

LDR R2, \[R0\] ；将R0的值为地址，赋值给R2

![format_png 28][]

此时R0的值 F39312A0，我们看看对应的值是什么：

![format_png 29][]

运行后，看看R2的值：

![format_png 30][]

可以看到，确实就是 R1地址的值：F362E54C。  
  
下一条指令：MOVS R3, \#0x29C  
即将 0x29C保存到R3寄存器：

![format_png 31][]

下一条指令：LDR R3, \[R2,R3\]  
将 R2寄存器的值与R3寄存器的值相加，得到一个地址，然后再取改地址上的值给R3;R2 = 0xF362E54C,R3 = 0x0000029C,相加得到这个地址值：  
0xF362E7E8,看看是什么：

![format_png 32][]

按下F8，看看R3的值：

![format_png 33][]

下一条指令：BLX R3;  
BLX 指令从ARM 指令集跳转到指令中所指定的目标地址，并将处理器的工作状态有ARM 状态切换到Thumb 状态，该指令同时将PC 的当前内容保存到寄存器R14 中。因此，当子程序使用Thumb 指令集，而调用者使用ARM 指令集时，可以通过BLX 指令实现子程序的调用和处理器工作状态的切换。  
同时，子程序的返回可以通过将寄存器R14 值复制到PC 中来完成。  
执行后，看到很多寄存器的值都变化了：

![format_png 34][]

下一条指令：  
POP \{R3,PC\} ;将栈顶的值分别传递给R3和PC。

![format_png 35][]

执行后，看看R3和PC的值：

![format_png 36][]

好了，今天就介绍都这里吧，以后遇到看不懂的指令可以直接百度，如果要加深印象，可以动态调试看寄存器的变化或者内存的变化。

[format_png]: /images/20221120/374ac03cdd014d3b9c4bc8530d98b7b2.png
[format_png 1]: /images/20221120/369bdd124ac047d881c99f1154541394.png
[format_png 2]: /images/20221120/027c8ff501c04ee3a846e3e593c5c15e.png
[format_png 3]: /images/20221120/edf2460a9a564343ab20dbf67fc8b6aa.png
[format_png 4]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy9MbGw4dHgwTURSMGhJUUNRWktLd29NaWJnZWliN2tGN1N1bW5xMkdBQW9JNlFpYmlhbHltcEdxRG9hb2dpYUhYaWJrTDN3d1c4V0VpYnJJN043TE5YckJkcW5GbkEvNjQw?x-oss-process=image/format,png
[format_png 5]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy9MbGw4dHgwTURSMGhJUUNRWktLd29NaWJnZWliN2tGN1N1eEN2VGdZaWM5ZDRQOHBhYk5mcVp3cUNOaG5IWW0wUkpIcnlDQ1ZqVGlhODdMeXRwbk1rdFFCR0EvNjQw?x-oss-process=image/format,png
[format_png 6]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy9MbGw4dHgwTURSMGhJUUNRWktLd29NaWJnZWliN2tGN1N1Y3hCSDNQeVNkRWRwREc5dXBiS21ISFRaOEVaa3Z4UjljdVo4NDZhMWliZDFGaWI5NWV6WUJaREEvNjQw?x-oss-process=image/format,png
[format_png 7]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy9MbGw4dHgwTURSMGhJUUNRWktLd29NaWJnZWliN2tGN1N1UVBhYjEwbE80ZmljQlJ1RHhFM0Z1WWNOdWlhbk5zOWpUSlQ1aWNhRTJnQUhZVHN4aGljUXo0U1RrUS82NDA?x-oss-process=image/format,png
[format_png 8]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy9MbGw4dHgwTURSMGhJUUNRWktLd29NaWJnZWliN2tGN1N1NnNXdlAxMjNtbndJWk5pYWU5Wk82NWliQlBtS01DU2hvcGRpY0h2c3RrYjZGeDhUcVVZWFlXb01BLzY0MA?x-oss-process=image/format,png
[format_png 9]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy9MbGw4dHgwTURSMGhJUUNRWktLd29NaWJnZWliN2tGN1N1b1BSYmQ1c3RENTVmYlIyaDVDUDB4YUxWMHFHYmFIUk52d0FMdlp1NTlmclZxMjFPazQyNUlnLzY0MA?x-oss-process=image/format,png
[format_png 10]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy9MbGw4dHgwTURSMGhJUUNRWktLd29NaWJnZWliN2tGN1N1NXNpYXFlamx4cG1vZDF4UjlYaWM4cGFEdlZsQUZKNFgxZGtiRzZqNWVMenByUlE1WldBY2gwMGcvNjQw?x-oss-process=image/format,png
[format_png 11]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy9MbGw4dHgwTURSMGhJUUNRWktLd29NaWJnZWliN2tGN1N1ampaVDRZdWZrcXRqZXFpYk9aN1dIeEtPaWFoWG4yTkVpYXJLR2p3OVNqRVduR3k3RHBKOGc3MEd3LzY0MA?x-oss-process=image/format,png
[format_png 12]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy9MbGw4dHgwTURSMGhJUUNRWktLd29NaWJnZWliN2tGN1N1STE5ZndGRW5PSmExdTJKUlJqbTNHUlJnamQ1YzR6aWFSNTFzY0NvTGY4WHRnekYxNkVIc3cyZy82NDA?x-oss-process=image/format,png
[format_png 13]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy9MbGw4dHgwTURSMGhJUUNRWktLd29NaWJnZWliN2tGN1N1UEtqQ1VFSXRaTFBObXJESVJZaWNUWEhmcXFYV2ljR1BTQnpGNmlhdmlhMFphcjlZOU1QS0JoajdaUS82NDA?x-oss-process=image/format,png
[format_png 14]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy9MbGw4dHgwTURSMGhJUUNRWktLd29NaWJnZWliN2tGN1N1TWhDT0VCdWpEU0hleDVZZmljaldMSjA3VjRLYVF0VHZmakFaUkRzaWJpYWVoaWFoNlRlaWFiMlVsbGcvNjQw?x-oss-process=image/format,png
[format_png 15]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy9MbGw4dHgwTURSMGhJUUNRWktLd29NaWJnZWliN2tGN1N1V2ZGQ0IyWVhoaGljNXdSQUE2Qlk4NW9WbkFvUWVHbWlhbHR6RzZWOVhoOXh4NnIyRkc4Y3puNHcvNjQw?x-oss-process=image/format,png
[format_png 16]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy9MbGw4dHgwTURSMEdjTjBCaHh1b09naEg5aWFxdkhZTlR1NEhxMFpUbHB1cFNFNktIYXByZVY5TDVIRlFrOUZrR3h5WXpoNFpLamliMlQyaWFGcjVRaWFzbkEvNjQw?x-oss-process=image/format,png
[format_png 17]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy9MbGw4dHgwTURSMEdjTjBCaHh1b09naEg5aWFxdkhZTlRxMWljeXNBR3cyY2lhWWxscGU4T2R6RE9uS2QyenBsNFV3VWpMRVZpYkdja3pIZE5GQUpzaWJPMGF3LzY0MA?x-oss-process=image/format,png
[format_png 18]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy9MbGw4dHgwTURSMEdjTjBCaHh1b09naEg5aWFxdkhZTlRKZzFXdmNPcGY2eFoxeW40em1GY2hGRDdNcHpiRWFnWWxrUEMxSFF2dWZVa0M2MWdpY0F4ZkN3LzY0MA?x-oss-process=image/format,png
[format_png 19]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy9MbGw4dHgwTURSMEdjTjBCaHh1b09naEg5aWFxdkhZTlQ1bTN5bkxGZFpzVnZkcFJpY21nMmNIMzQyNFZyTVlMcXNTOUZPT0VTUjVpYU1VMTdhOHZxaGlhcEEvNjQw?x-oss-process=image/format,png
[format_png 20]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy9MbGw4dHgwTURSMEdjTjBCaHh1b09naEg5aWFxdkhZTlRrcUk1bmgxRHJWbnJyVXhvWmsydnBWeDdqRXM5Z0NFVDFqTUlGQ2VMT0lxMmpaQjlZQms4a2cvNjQw?x-oss-process=image/format,png
[format_png 21]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy9MbGw4dHgwTURSMEdjTjBCaHh1b09naEg5aWFxdkhZTlRSSlVzVWljRTZ3Rzd5NjV1TU9xbU15NTc3WHpONlRYR2dDdlM4aWM5QnlRZ2RiaDREdzJUbWN2US82NDA?x-oss-process=image/format,png
[format_png 22]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy9MbGw4dHgwTURSMEdjTjBCaHh1b09naEg5aWFxdkhZTlRkN2s4ZWROZTA2d2dwemRXT2o1aWFYamw4eWljaWJ5aWNyanNYZnh0amhPbVc2ZHRsTGJUVno4R0xRLzY0MA?x-oss-process=image/format,png
[format_png 23]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy9MbGw4dHgwTURSMEdjTjBCaHh1b09naEg5aWFxdkhZTlRQdHhRWjVMSnF4U0R3NnYwcldZR1JzSDVDSDREQzl0TTRpYW5QNlNtZ3lDTFkxZDAyVnV5eDlnLzY0MA?x-oss-process=image/format,png
[format_png 24]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy9MbGw4dHgwTURSMEdjTjBCaHh1b09naEg5aWFxdkhZTlRRVDBVOHRpYUNGeXl3MTdLRGlienlKR0pjMklqTjRTNE9JVExFd1FGbnNVaWMwdlpLT25xcmcwSUEvNjQw?x-oss-process=image/format,png
[format_png 25]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy9MbGw4dHgwTURSMEdjTjBCaHh1b09naEg5aWFxdkhZTlR2WWZzRG53eWZrZWtqSFp1OFJmdEc4STd6Mmx0c1gwZE5pY2xsa2NhbjhqQ3E2QjkzZE1KRGF3LzY0MA?x-oss-process=image/format,png
[format_png 26]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy9MbGw4dHgwTURSMEdjTjBCaHh1b09naEg5aWFxdkhZTlQzdDc0d0ZkOWljZnRZR21zNGlha1lXbTB2ZkZESWVEbmJSZklMZkY4NkFQQWw5Z1h3dHFCVmZlZy82NDA?x-oss-process=image/format,png
[format_png 27]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy9MbGw4dHgwTURSMEdjTjBCaHh1b09naEg5aWFxdkhZTlRORURHS3FudFVhdFlBUmNBZDlualdJSWtyaWF2TWN6bGhLQm11VWJraWJIR3hyUVlZbnM2OXkyZy82NDA?x-oss-process=image/format,png
[format_png 28]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy9MbGw4dHgwTURSMEdjTjBCaHh1b09naEg5aWFxdkhZTlQ5dWtPeHFoa0wxS1VVbEVVaWE3ZDlpYlNBQ2VpYzQ5MHpyODdPbHdVUGNmbnJJaWJVU0ZOd3laNFZBLzY0MA?x-oss-process=image/format,png
[format_png 29]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy9MbGw4dHgwTURSMEdjTjBCaHh1b09naEg5aWFxdkhZTlRSOVJMd2RKa2RXM0NFQjVpYWliaWJiZW45NGc4U1J4Umt0aWJxeUhLT080QWliU0dKQXFmM0hreVBCQS82NDA?x-oss-process=image/format,png
[format_png 30]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy9MbGw4dHgwTURSMEdjTjBCaHh1b09naEg5aWFxdkhZTlRncnBNQVVIdGtlWjRlVWt4V0JpYXVaNXNGU1BjRDhDS3BLcTdlOXo3NldOMU5TMUxOV0hEdGN3LzY0MA?x-oss-process=image/format,png
[format_png 31]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy9MbGw4dHgwTURSMEdjTjBCaHh1b09naEg5aWFxdkhZTlRnSUlJN1doMThmeGJzSTFDcFd1cnFsYXgxOGNZTVBCbEYyMnF6SkpIeFlQWmlhVnRoWmpDblB3LzY0MA?x-oss-process=image/format,png
[format_png 32]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy9MbGw4dHgwTURSMEdjTjBCaHh1b09naEg5aWFxdkhZTlRBV0NZWkNybzhLQjFqVjBrN0dzS2hkQUtmRUk0aGJ2c1RHVEd2SHhsdzNZREY0SEJRMlN2dVEvNjQw?x-oss-process=image/format,png
[format_png 33]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy9MbGw4dHgwTURSMEdjTjBCaHh1b09naEg5aWFxdkhZTlRxUmJINWRiVjZCOGtKWHRMN0JocVlxQzFzZWNsTzJpYXBva1R2WmZhZEZjdmFCWlN2MEFURDRRLzY0MA?x-oss-process=image/format,png
[format_png 34]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy9MbGw4dHgwTURSMEdjTjBCaHh1b09naEg5aWFxdkhZTlR1SVdoTVo5aFI2aGlhYzFiQWljaEo1V3Bwc2liTUNpY0hrblpGazVZSWJNZFY3WVZwS25EVlVZeFhBLzY0MA?x-oss-process=image/format,png
[format_png 35]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy9MbGw4dHgwTURSMEdjTjBCaHh1b09naEg5aWFxdkhZTlRGN0phWVFFczl3U2x6ZlpKSTVla2p0QXJaUXR6Zm9WUVRlNGxwdlJvMnEwZWNIdk9tQXQyQUEvNjQw?x-oss-process=image/format,png
[format_png 36]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy9MbGw4dHgwTURSMEdjTjBCaHh1b09naEg5aWFxdkhZTlRBYjBsWGpTcDZVbDNVUmdCRGpCTkZsNFJjUWZWWHZIdXVtZ2ZYTUJ6cmE4NGEyQ2tpYlFhaWJmUS82NDA?x-oss-process=image/format,png