iOS汇编

iOS逆向之旅（基础篇） — 汇编（一）— 汇编基础
iOS逆向之旅（基础篇） — 汇编（二） — 汇编下的 IF语句
iOS逆向之旅（基础篇） — 汇编（三） — 汇编下的 Switch语句
iOS逆向之旅（基础篇） — 汇编（四） — 汇编下的函数
iOS逆向之旅（基础篇） — 汇编（五） — 汇编下的Block

汇编(一)
汇编(二)
汇编(三)
汇编(四)

汇编调试工具️

想要学习arm64汇编，需要从以下三个方面入手，寄存器、指令和堆栈。

不同的CPU，寄存器的个数和结构不相同。
像8086CPU有14个寄存器。
ARM64 有34个寄存器，包括31个通用寄存器、SP、PC、CPSR。

x0 - x30 是31个通用整型寄存器。每个寄存器可以存取一个64位大小的数。 当使用 r0 - r30 访问时，它就是一个64位的数。当使用 w0 - w30 访问时，访问的是这些寄存器的低32位
(其中
X0-X7: 用于子程序调用时的参数传递，以及临时变量，超过8个参数的存放在栈上，
X0还用于返回值传递，
X8: 间接寻址结果)

通用寄存器（用来存放一般性的数据）

• x0~x30（64位）
• x29 又名fp（用于保存栈底的地址）
• x30 又名 lr（bl 跳转后就会把下一条指令地址写到lr中）
• w0_{w30（32位）这些就是x0}x30的低32位
  
• 其中x0 ~ x7通常拿来存放函数的参数，如果参数更多，则采用堆栈来进行传递
• x0中通常存放函数的返回值

程序计数器
PC(Program Counter)，俗称PC指针，它记录着当前CPU正在执行的指令的地址，通过register read pc查看寄存器中存储的值，软件无法修改

(lldb) register read pc
 pc = 0x000000010286e588 TestFont`-[ViewController test] + 20 at ViewController.m:28

堆栈指针

• SP (Stack Pointer) 栈顶指针(在任意时刻会保存栈顶的地址)
• FP (Frame Pointer) 栈底指针(属于通用寄存器，但是在某些时刻（例如函数嵌套调用时）可以利用它保存栈底的地址)(也称为x29寄存器)

链接寄存器
LR（Link Register），即X30，它存储着函数调用完成时的返回地址(保存子程序结束后需要执行的下一条指令)，用来做函数调用栈跟踪，程序在崩溃时能够将函数调用栈打印出来就是借助LR寄存器来实现的。

总结: 调试断点是通过调试寄存器实现的。

arm体系中包含
一个当前程序状态寄存器cpsr (Current Program Status Register)
和
五个备份的程序状态寄存器spsr (Saved Program Status Registe)，
备份的程序状态寄存器用来进行异常处理。

• CPSR寄存器是32位的，每一位的功能如下
  31 30 29 28 27~8 7 6 5 4 3 2 1 0
  N Z C V 保留 I F T M4 M3 M2 M1 M0
• CPSR的低8位（包括I、F、T和M[4：0]）称为控制位，程序无法修改,除非CPU运行于特权模式下,程序才能修改控制位!
• N【负数标志】、Z【0标志】、C【进位标志】、V【溢出标志】均为条件码标志位。
  ——————————————————————————————————
  ARM64下常用的汇编指令

基础指令

• MOV - MOV X1，X0 ; 将寄存器X0的值传送到寄存器X1
• ADD - ADD X0，X1，X2 ; 寄存器X1和X2的值相加后传送到X0
• SUB - SUB X0，X1，X2 ; 寄存器X1和X2的值相减后传送到X0
• AND - AND X0，X0，#0xF ; X0的值与0xF相位与后的值传送到X0
• ORR - ORR X0，X0，#9 ; X0的值与9相或后的值传送到X0
• EOR - EOR X0，X0，#0xF ; X0的值与0xF相异或后的值传送到X0

堆栈操作

• STR - 将数据从寄存器中读出来,存到内存中. STR - STR X0, [sp, #0x8] ；X0寄存器的数据传送到sp+0x8地址值指向的存储空间
• STP - STR 的变种指令，可以同时操作两个寄存器 STP x29, x30, [sp, #0x10] ; 将x29,x30存入栈中
• LDR - 将数据从内存中读出来,存到寄存器中 LDR X5，[X6，#0x08] ；X6寄存器加0x08的和的地址值内的数据传送到X5
• LDP - LDR 的变种指令，可以同时操作两个寄存器 LDP x29, x30, [sp, #0x10] ; 将栈中的值取出存放到x29, x30

寻址指令

分为两种，存和取

• L开头的从内存中取值指令，如 LDR（Load Register）、LDP（Load Pair）
• S开头往内存中存值指令，如 STR（Store Register）、STP（Store Pair）

注意：

• arm64开始，取消了32位的LDM、STM、PUSH、POP指令，取而代之的是 ldr/ldp、str/stp（r和p的区别在于处理的寄存器个数，r表示处理1个寄存器，p表示处理两个寄存器）
• arm64中，对栈的操作是16字节对齐的！！！
  跳转操作

arm64之前和arm64之后的一个对比

• B/BL 绝对跳转指令,将下一条指令的地址(返回地址)放入lr(x30)寄存器

• RET 子程序返回指令，返回地址默认保存在lr(x30),通过底层指令提示CPU此处作为下条指令地址!

• CMP 比较指令，相当于SUBS，影响程序状态寄存器CPSR

• B.GT 比较结果是大于，执行标号，否则不跳转

• B.GE 比较结果是大于等于，执行标号，否则不跳转

• B.EQ 比较结果是等于，执行标号，否则不跳转

• B.HI 比较结果是无符号大于，执行标号，否则不跳转

• CBZ - CBZ ; 比较（Compare），如果结果为零（Zero）就转移（只能跳到后面的指令）

• CBNZ - CBNZ ; 比较，如果结果非零（Non Zero）就转移（只能跳到后面的指令）

ADRP 是计算指定的数据地址到当前PC值的相对偏移

eg：adrp x0, 1

1.将1的值,左移12位 1 0000 0000 0000 == 0x1000

2.将PC寄存器的低12位清零 0x1002e6874 ==> 0x1002e6000

3.将1 和 2 的结果相加 给 X0 寄存器!!

——————————————————————————————————

堆栈操作

函数的本质就是函数调用栈，只要调用函数，就会开辟栈空间。发生函数调用时，sp拉伸栈空间，函数的参数是存放在X0到X7(W0到W7)这8个寄存器里面的.如果超过8个参数,就会入栈，局部变量也入栈，x29和x30也要入栈以便bl跳转回来能找到下一条指令继续执行,如果是叶子函数，则不用保存x29和x30。函数的返回值是放在X0 寄存器里面的。所以拉伸栈空间的大小和参数，局部变量以及x29和x30有关。

函数的调用流程总结

1 push参数，参数入栈

2 将函数的返回地址(下一条指令的地址)入栈

3 保护sp，将sp赋值给bp

4 分配一定的空间给函数的局部变量使用（让sp减去该空间大小），为了安全，用CC填充（int 3h）

5 保护寄存器, 因为在函数执行过程中会修改寄存器的值，所以在修改之前保存一下之前的值，后面再还原

6 具体的业务代码

7 恢复寄存器的值，跟第5步相反

8 将bp赋值给sp，恢复bp

9 返回（ret）

bl指令跳转，将下一条执行的指令放入lr（X30）寄存器

ret指令返回到lr寄存器所保存的地址 执行代码

pc寄存器 指向马上要执行的代码地址

sp寄存器指向了我们栈
栈平衡 （每个函数调用完毕后，将拉伸的占栈空间平衡回去 （将sp加回去））
栈 ： 函数调用会开辟栈空间 （内存空间），
作用：存放函数局部变量、参数、寄存器的保护。

参数 ：X0 - X7 （个数有关系、数据类型也有关（float有特殊的寄存器、向量寄存器））放得下才行，多余的会入栈

函数嵌套调用：回去的路保护
| - A(开辟) --> B（开辟） --> A（开辟）
| - A<-->A 死的递归（内存溢出）

不停的开辟空间没有平栈

(七)规律

• 内存地址格式为: 0x4bdc(%rip), 一般是全局变量, 全局区(数据段)

• 内存地址格式为: -0x78(%rbp), 一般是局部变量, 栈空间

• 内存地址格式为: 0x10(%rax), 一般是堆空间

——————————————————————————————————
Xcode在真机中运行项目，然后在viewWillAppear添加断点，lldb中查看各寄存器状态register read

iOS逆向学习之十（arm64汇编入门）
iOS arm64汇编调试
iOS逆向之旅 — 总纲
——————————————————————————————————