iOS逆向(7)-LLDB,自制LLDB脚本,窜改微信红包金额

ゞ浴缸里的玫瑰 2023-06-10 04:21 14阅读 0赞

在上篇文章[从fishhook看runtime，hook系统C函数][fishhook_runtime_hook_C]中已经提到了利用LLDB的部分命令。在我们玩逆向的时候在大多数时候其实是拿不到源码的。所以了解一些LLDB来辅助我对别人APP的学(破)习(坏)，是非常有必要的。

自从开始玩逆向，总是会有一些大佬给我发一些转账信息（为什么不是发红包？红包金额有限制，拿不出手），金额还挺大。  
都是类似于这样的。

![format_png][]

88888.88.png

那么道友们想不想都收到这样的红包呢？看完这篇文章，你就可以。如果没有人转给你，评论区告诉我，我给你转，说到做到！

废话不多说，这篇文章内容很简单，非常容易理解，但是需要记的东西比较多，理财师强烈推荐点个小心心，以备不时之需 O(∩\_∩)O哈哈~。

今天的DEMO也比较简单，可以在点击这里下载到： **[LLDB][]**

本文将介绍的内容如下：

*  LLDB
 *  自制LLDB脚本
 *  chisel
 *  DerekSelander-LLDB
 *  实操窜改微信红包

# 一、LLDB #

> 默认内置于Xcode中的动态调试工具。标准的 LLDB 提供了一组广泛的命令，旨在与老版本的 GDB 命令兼容。 除了使用标准配置外，还可以很容易地自定义 LLDB 以满足实际需要。

命令格式如下

<command> [<subcommand> [<subcommand>...]] + <action> + [-options [option-value]] + [argument [argument...]]

*  `[]`表示命令是可选的，可以有也可以没有
 *  `<command>`(命令)和`<subcommand>`(子命令)：`LLDB`调试命令的名称。命令和子命令按层级结构来排列：一个命令对象为跟随其的子命令对象创建一个上下文，子命令又为其子命令创建一个上下文，依此类推。
 *  `<action>`：我们想在前面的命令序列的上下文中执行的一些操作。
 *  `<options>`：行为修改器(action modifiers)。通常带有一些值。
 *  `<argument>`：根据使用的命令的上下文来表示各种不同的东西。

> The full lldb command names are often long, but any unique short form can be used. Instead of "breakpoint set", "br se" is also acceptable.  
> 一般lldb的命令会很长，但是只要能够想出足够断，并且又能代表唯一性的缩写，那么缩写命令也是同一生效的如：`breakpoint set` == `br se`

LLDB的所有命令在 [LLVM官网][LLVM]或者[Apple官网][Apple] 都可以查询到。笔者会在这篇文章中列举一些比较常用的命令。

### 1、断点设置 ###

<table> 
 <thead> 
  <tr> 
   <th>命令名称</th> 
   <th>命令参样例</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td>使用名称设置断点</td> 
   <td>breakpoint set --name main</td> 
  </tr> 
  <tr> 
   <td>使用内存地址设置断点</td> 
   <td>breakpoint -a 0xXXXXXXXX</td> 
  </tr> 
  <tr> 
   <td>删除断点</td> 
   <td>breakpoint delete 1</td> 
  </tr> 
  <tr> 
   <td>使断点失效/生效</td> 
   <td>breakpoint disable/enable 2</td> 
  </tr> 
  <tr> 
   <td>查看所有断点</td> 
   <td>breakpoint list</td> 
  </tr> 
  <tr> 
   <td>OC中所有命名中包含为Test4的方法设置断点</td> 
   <td>breakpoint set -r Test4</td> 
  </tr> 
 </tbody> 
</table>

随意上两张样式图：

![format_png 1][]

Breakpoint\_1.png

![format_png 2][]

Breakpoint\_2.png

附带一张官网截图，这些命令都可以在 [这][LLVM] 找到

![format_png 3][]

12B131A8-D3DC-4256-ADA1-604932CB0071.png

### 2、断点命令 ###

<table> 
 <thead> 
  <tr> 
   <th>命令名称</th> 
   <th>命令参样例</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td>给某一个断点增加命令</td> 
   <td>breakpoint command add 1</td> 
  </tr> 
  <tr> 
   <td>查看所有断点命令</td> 
   <td>breakpoint command list</td> 
  </tr> 
  <tr> 
   <td>删除断点命令</td> 
   <td>breakpoint command delete 1</td> 
  </tr> 
  <tr> 
   <td>使某个断点命令生效/失效</td> 
   <td>breakpoint command enable/disable</td> 
  </tr> 
  <tr> 
   <td>给某一个断点增加命令</td> 
   <td>breakpoint command delete</td> 
  </tr> 
 </tbody> 
</table>

给某一处断点加上一段代码，使其每次被断住的时候都可以自动执行终端代码，如下图：

![format_png 4][]

breakpoint command add.png

### 3、执行代码 ###

`expression`就是执行代码的命令，也就是常用的`p`，按照官网所说的缩写唯一性原则`e`、`expr`，也是可以的。  
如图：

![format_png 5][]

expression\_2.png

![format_png 6][]

expression\_2.png

### 4、查看堆栈，流程控制 ###

<table> 
 <thead> 
  <tr> 
   <th>命令名称</th> 
   <th>命令参样例</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td>查看当前所有堆栈</td> 
   <td>bt</td> 
  </tr> 
  <tr> 
   <td>返回上一步堆栈</td> 
   <td>up</td> 
  </tr> 
  <tr> 
   <td>查看某一条堆栈</td> 
   <td>frame select 1</td> 
  </tr> 
  <tr> 
   <td>查看当前堆栈的参数</td> 
   <td>frame variable</td> 
  </tr> 
  <tr> 
   <td>堆栈回滚到上一条</td> 
   <td>thread return</td> 
  </tr> 
  <tr> 
   <td>程序继续执行</td> 
   <td>c</td> 
  </tr> 
  <tr> 
   <td>单步下一步</td> 
   <td>n</td> 
  </tr> 
  <tr> 
   <td>进入下一个函数(方法)</td> 
   <td>s</td> 
  </tr> 
  <tr> 
   <td>汇编级别的单步下一步</td> 
   <td>ni</td> 
  </tr> 
  <tr> 
   <td>汇编级别的进入下一个函数(方法)</td> 
   <td>si</td> 
  </tr> 
 </tbody> 
</table>

同样是一张样式图：

![format_png 7][]

bt.png

### 5、内存断点 ###

某个属性地址只要有改变，就触发断点。相当于对某个属性设置了KVO。

<table> 
 <thead> 
  <tr> 
   <th>命令名称</th> 
   <th>命令参样例</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td>直接观察一个变量</td> 
   <td>watchpoint set variable global_var</td> 
  </tr> 
  <tr> 
   <td>直接观察一个变量的地址</td> 
   <td>watchpoint set expression -- 0xxxxxx</td> 
  </tr> 
  <tr> 
   <td>删除断点</td> 
   <td>watchpoint delete 1</td> 
  </tr> 
  <tr> 
   <td>使断点失效/生效</td> 
   <td>watchpoint disable/enable 2</td> 
  </tr> 
  <tr> 
   <td>查看所有断点</td> 
   <td>watchpoint list</td> 
  </tr> 
 </tbody> 
</table>

![format_png 8][]

06BE6F9B-09CD-4CCA-89B4-0CD068B5FC0B.png

### 5、库文件image ###

<table> 
 <thead> 
  <tr> 
   <th>命令名称</th> 
   <th>命令参样例</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td>查看工程中使用的库(包括MachO自己)</td> 
   <td>image list</td> 
  </tr> 
  <tr> 
   <td>查找可执行文件或共享库的原始地址</td> 
   <td>image lookup --address 0x0000000100000de0</td> 
  </tr> 
  <tr> 
   <td>输出NSURL的成员变量及属性信息。</td> 
   <td>image lookup --type NSURL</td> 
  </tr> 
  <tr> 
   <td>导出可执行文件和共享库的所有符号表</td> 
   <td>image dump symtab</td> 
  </tr> 
 </tbody> 
</table>

### 7、HOOK每个断点 ###

给每个断点，都执行一段代码。

<table> 
 <thead> 
  <tr> 
   <th>命令名称</th> 
   <th>命令参样例</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td>增加一个HOOK</td> 
   <td>target stop-hook add -o "frame variable"</td> 
  </tr> 
  <tr> 
   <td>直接所有HOOK</td> 
   <td>target stop-hook list</td> 
  </tr> 
  <tr> 
   <td>删除HOOK</td> 
   <td>target stop-hook disable 1</td> 
  </tr> 
  <tr> 
   <td>使HOOK失效/生效</td> 
   <td>target stop-hook disable/enable 2</td> 
  </tr> 
 </tbody> 
</table>

![format_png 9][]

stop-hook.png

### 8、寄存器&&内存 ###

<table> 
 <thead> 
  <tr> 
   <th>命令名称</th> 
   <th>命令参样例</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td>显示当前线程所有寄存器的值</td> 
   <td>register read --all</td> 
  </tr> 
  <tr> 
   <td>将0x01写入x2寄存器</td> 
   <td>register write x2 0x01</td> 
  </tr> 
  <tr> 
   <td>读取内存0x0002A8A2D中的的值</td> 
   <td>memory read 0x0002A8A2D (缩写x 0x0002A8A2D )</td> 
  </tr> 
 </tbody> 
</table>

### 9、支持Python ###

例如：

script print "Here is some text"

![format_png 10][]

Python.png

# 二、自制LLDB脚本 #

### 1、.lldbinit ###

LLDB本质上就跟一个程序（或者说进程）一样，每次启动LLDB的时候都会主动加载一个初始化文件，这个文件就是`.lldbinit`，他的地址位于根目录下：

*如果你的根目录没有这个文件，那就只用`touch`创建一个吧*

// 创建.lldbinit
    touch ~/.lldbinit
    // 写入
    vi ~/.lldbinit
    // 查看
    cat ~/.lldbinit

在`.lldbinit`中写入如下代码

target stop-hook add -o "frame variable"

重启Xcode，运行工程，在任意一个地方加上断点。  
会发现当断点断住的时候，自动执行了`frame variable`

![format_png 11][]

lldbinit效果.png

读到这就有一个很有意思的事情了：  
`.lldbinit`可以帮我们预加载部分命令，`LLDB`又支持Python语法，那么是不是可以将部分Python的代码封装起来，再利用`.lldbinit`的机制，进而就可以实现用我们自己的封装好的代码，让我们更方便的使用`LLDB`？

说干就干。

### 2、脚本实操 ###

之前我们使用过命令`image list`命令查看，查看App运行后再内存中的首地址（`ASLR`），这个地址其实是加上了`pagezero`的值，其实使用命令`image list -o`可以直接查看`ASLR`，如图：

![format_png 12][]

ASLR.png

然而我们每次只需要取的是第一个值，却打印出这么多的信息，有点烦人。这就可以写一个脚本每次取出第一个值，并且打印出来，就是我们要的结果：

![format_png 13][]

fy\_get\_ASLR.png

代码如下很短，当然也可以在这下载到：[lldbPyDemo.py][]

import lldb
    import re
    
    # 获取ASLR偏移地址
    def fy_get_ASLR(debugger, command, result, internal_dict):
        # 获取'image list -o'命令的返回结果
        interpreter = lldb.debugger.GetCommandInterpreter()
        returnObject = lldb.SBCommandReturnObject()
        interpreter.HandleCommand('image list -o', returnObject)
        output = returnObject.GetOutput();
        # 正则匹配出第一个0x开头的16进制地址
        match = re.match(r'.+(0x[0-9a-fA-F]+)', output)
        if match:
            print match.group(1)
        else:
            return None
    # And the initialization code to add your commands 
    def __lldb_init_module(debugger, internal_dict):
        # 'command script add fy_get_ASLR' : 给lldb增加一个'fy_get_ASLR'命令
        # '-f lldbPyDemo.fy_get_ASLR' : 该命令调用了lldbPyDemo文件的fy_get_ASLR函数
        debugger.HandleCommand('command script add fy_get_ASLR -f lldbPyDemo.fy_get_ASLR')
        print 'The "fy_get_ASLR" python command has been installed and is ready for use.'

同样的，每次都主动加载`lldbPyDemo.py`也有点烦，将其路径加入`.lldbinit`中，即可实现每次自动加载。

![format_png 14][]

lldbinit\_2.png

LLDB所有开放出来的接口都可以在[官方网站][Link 1]中找到，有兴趣的同学可以研究研究。

# 三、chisel #

> Chisel is a collection of LLDB commands to assist in the debugging of iOS apps.  
> Chisel是一个用户Debug iOS Apps 的LLDB命令集合

以上介绍来自[chisel官网][chisel]。

由于其支持`brew`，安装使用的方法很简单：

brew update
    brew install chisel

如果本地没有`.lldbinit`文件，先在根目录创建再打开，否则直接打开

// 创建.lldbinit文件 
    touch .lldbinit 
    // 打开.lldbinit文件
    open .lldbinit

然后在`.lldbinit`文件中追加如下命令

command script import /usr/local/opt/chisel/libexec/fblldb.py

重启`Xcode`即可使用。

以下挑了一些实用的命令：

<table> 
 <thead> 
  <tr> 
   <th>命令名称</th> 
   <th>命令描述</th> 
   <th>iOS</th> 
   <th>OS X</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td>pviews</td> 
   <td>打印当前KeyWindow的所有View</td> 
   <td>Yes</td> 
   <td>Yes</td> 
  </tr> 
  <tr> 
   <td>pvc</td> 
   <td>打印当前KeyWindow的所有VC</td> 
   <td>Yes</td> 
   <td>No</td> 
  </tr> 
  <tr> 
   <td>fv</td> 
   <td>根据正则表达式打印查找并打印View</td> 
   <td>Yes</td> 
   <td>No</td> 
  </tr> 
  <tr> 
   <td>fvc</td> 
   <td>根据正则表达式打印查找并打印VC</td> 
   <td>Yes</td> 
   <td>No</td> 
  </tr> 
  <tr> 
   <td>show/hide</td> 
   <td>在不需要continue的情况下显示/隐藏View或者Layer</td> 
   <td>Yes</td> 
   <td>Yes</td> 
  </tr> 
  <tr> 
   <td>bmessage</td> 
   <td>在类的方法或实例的方法上设置符号断点，就算没有实现显示的实现该刚发，也会触发。如viewWillAppear这个方法，在当前控制器中没有实现它，但是又想在调用它的时机触发中断。</td> 
   <td>Yes</td> 
   <td>Yes</td> 
  </tr> 
  <tr> 
   <td>wivar</td> 
   <td>相当于watchpoint</td> 
   <td>Yes</td> 
   <td>Yes</td> 
  </tr> 
 </tbody> 
</table>

下图是pviews和pvc的用例图：

![format_png 15][]

pviews&&pvc.png

# 四、DerekSelander-LLDB #

`DerekSelander-LLDB`同`chisel`一样是一个LLDB的脚本集合，大部分功能一致，但`DerekSelander-LLDB`有一个非常好用的功能：  
`sbt`:查看当前堆栈，并且尽可能的恢复符号表！  
这就很牛逼了，要知道在我们逆向的过程中，大部分研究的APP都是已经去符号的！  
\[图片上传失败...(image-57c79-1554654483282)\]

具体使用同样也可以参照官网： [DerekSelander-LLDB][]

`DerekSelander-LLDB`的安装过程没有`chisel`那么花哨，不需要用到brew，安装过程如下（官网复制的，我就不翻译了）：

1、 To Install, copy the lldb_commands folder to a dir of your choosing.
    2、 Open up (or create) ~/.lldbinit
    3、 Add the following command to your ~/.lldbinit file: command script import /path/to/lldb_commands/dslldb.py

# 五、实操窜改微信红包 #

LLDB既然这么好用，那么我们就利用LLDB来继续分析一下我们可爱的微信，O(∩\_∩)O哈哈~。

利用之前文章[iOS逆向(4)-代码注入，窃取微信密码][iOS_4_-]讲到的方法，直接利用Xcode将微信运行在手机上。

随意让一个小伙伴自己的微信号发一个最大的红包(0.01元)，进入聊天页面如下图：

![format_png 16][]

红包\_1.png

在这个地方断住程序，进入LLDB的调试页面。

![format_png 17][]

Stop.png

输入上文提到的Chisel命令`pviews`,会发现终端打印出了非常多的视图结构。直接搜索红包金额`0.01`，找到对应的`Label`，如下图：

![format_png 18][]

pviews.png

![format_png 19][]

0.01.png

从上图可以发现显示金额的控件是`MMUILabel`，很像一个UILabel，而且地址为`0x10e6c7d00`。  
在根据LLDB的`p`命令执行更改文本的代码，如下：

p ((UILabel *)0x10e6c7d00).text = @"￥88888.88"

![format_png 20][]

改金额.png

然后程序继续运行。可以看到微信的金额已经被改！

![format_png 21][]

金额被改.png

此时的金额只是一个静态被改变的字符串而已，实际上并不会让我们多一分钱或者少一分钱。

在普通的生活中，逆向其实是一件非常有意思的事情，在增加自己的知识面的同时，也能给予我们很多的欢乐，想想看这样一张截图往朋友圈一放是不是贼有面子。哈哈，也许你的朋友圈中各种红包转账截图也是这样来的呢？尤其是经常发这样的转账信息的代购们。

# 六、总结 #

这片文章的内容其实非常简单，首先介绍了一下LLDB的一下基本用法，从而得知其可以支持Python语法，又有`.lldbinit`文件可以帮我们自动加载脚本，所有就有了一个简单的LLDB脚本案例，之后又引出facebook出品的`Chiesl`和`DerekSelander-LLDB`两个脚本集合。最后就是利用LLDB进行一些简单的UI分析和执行简单的代码了。

但是，每次使用LLDB都需要断住程序，体验不是很好。那是不是有一种能力，可以让程序在正常运行的时候，我们也可以对APP进行实时的动态分析呢？  
答案是肯定的，神器`Cycript`就是这么一个存在，在下一篇文章中，将会围绕`Cycript`讲解一些逆向工程中非常非常重要的内容！

# 参考： #

*  [WWDC 2018：效率提升爆表的 Xcode 和 LLDB 调试技巧][WWDC 2018_ Xcode _ LLDB]
 *  [使用Python脚本强化LLDB调试器][Python_LLDB]
 *  [LLDB调试器使用简介][LLDB 1]

作者：一缕清风扬万里  
链接：[https://www.jianshu.com/p/fd10bb8b89d6][https_www.jianshu.com_p_fd10bb8b89d6]  
来源：简书  
著作权归作者所有。商业转载请联系作者获得授权，非商业转载请注明出处。

[fishhook_runtime_hook_C]: https://www.jianshu.com/p/b6a72aa6c146
[format_png]: /images/20230531/9b241015b9034b42b06532e171ba9cc4.png
[LLDB]: https://links.jianshu.com/go?to=https%3A%2F%2Fgithub.com%2Fdengbin9009%2FLLDB-Cycript
[LLVM]: https://links.jianshu.com/go?to=https%3A%2F%2Flldb.llvm.org%2Flldb-gdb.html
[Apple]: https://links.jianshu.com/go?to=https%3A%2F%2Fdeveloper.apple.com%2Flibrary%2Farchive%2Fdocumentation%2FIDEs%2FConceptual%2Fgdb_to_lldb_transition_guide%2Fdocument%2Flldb-command-examples.html%23%2F%2Fapple_ref%2Fdoc%2Fuid%2FTP40012917-CH3-SW5
[format_png 1]: /images/20230531/788b24c2b2be4909a0ccc421b3f7dd6a.png
[format_png 2]: /images/20230531/facd5eb4e432405b8cbff6828a20ab4a.png
[format_png 3]: /images/20230531/02f3bef1cf5b4cbe8dbd5f363d46e123.png
[format_png 4]: /images/20230531/6a4cee12e7cf43059ae427dfff61f2ae.png
[format_png 5]: /images/20230531/d71afe133f8a4bd79473a96864c7ec66.png
[format_png 6]: /images/20230531/22a578e8b12b46f6ad2b316a32ecd24e.png
[format_png 7]: /images/20230531/4fdf2fee42474771bbd9bbfed09b483e.png
[format_png 8]: /images/20230531/6bf088e90e79420b9401f6ad5d07ff73.png
[format_png 9]: /images/20230531/ad4592e07b7d4737bd89071a8b908e9b.png
[format_png 10]: /images/20230531/957241db7558478db47f067c53510692.png
[format_png 11]: /images/20230531/163d718494bd4f27b7b27365ab71b205.png
[format_png 12]: /images/20230531/9cd82d86a01e432ba05663c6a7381948.png
[format_png 13]: /images/20230531/0a8220c19ca24abcbe5324869dbb5ce8.png
[lldbPyDemo.py]: https://links.jianshu.com/go?to=https%3A%2F%2Fgithub.com%2Fdengbin9009%2FLLDB%2Fblob%2Fmaster%2FlldbPyDemo.py
[format_png 14]: /images/20230531/95944dd0d1eb4c39a3ecbb9afdafab19.png
[Link 1]: https://links.jianshu.com/go?to=http%3A%2F%2Flldb.llvm.org%2Fpython_reference%2F
[chisel]: https://links.jianshu.com/go?to=https%3A%2F%2Fgithub.com%2Ffacebook%2Fchisel
[format_png 15]: /images/20230531/be9c525eb8104e2b9d68e84ac183bf98.png
[DerekSelander-LLDB]: https://links.jianshu.com/go?to=https%3A%2F%2Fgithub.com%2FDerekSelander%2FLLDB%23lldb
[iOS_4_-]: https://www.jianshu.com/p/31232eef35c5
[format_png 16]: /images/20230531/128964bd80194b2880b955fa06c0b286.png
[format_png 17]: /images/20230531/80324551c452441887e5c6808f5f12b7.png
[format_png 18]: /images/20230531/b8952106d5ad4fd9a60b09a221337304.png
[format_png 19]: /images/20230531/8aabe6949b0d452592bf3883cf9bc622.png
[format_png 20]: /images/20230531/21f9b3386ee6409abfeef98a30d0e188.png
[format_png 21]: /images/20230531/51c8d96b381b40559dde1ec0bf83896b.png
[WWDC 2018_ Xcode _ LLDB]: https://links.jianshu.com/go?to=https%3A%2F%2Fjuejin.im%2Fpost%2F5b1cd870e51d4506dc0ac76c
[Python_LLDB]: https://links.jianshu.com/go?to=http%3A%2F%2Fwww.poboke.com%2Fstudy%2Fenhanced-lldb-debugger-with-python-script.html
[LLDB 1]: https://links.jianshu.com/go?to=http%3A%2F%2Fsouthpeak.github.io%2F2015%2F01%2F25%2Ftool-lldb%2F
[https_www.jianshu.com_p_fd10bb8b89d6]: https://www.jianshu.com/p/fd10bb8b89d6