之前我终端 LLDB 和 手机端 debugserver 成功的使得双方链接。
并在链接成功后，自动进入断点模式。
传送门 ====》》》 iOS逆向之动态调试任意APP，终端LLDB、手机debugserver
接下来，我们需要精准的定位到APP某个功能的方法，并进入断点。
一、假设需求
假设需要，知道微信在点击红包时，调用了什么方法、做了什么事情，怎么实现的。调用了当前控制器的什么方法。
二、查看当前界面的控制器
通过 mac 终端 登录到 当前手机的 root 账户。我这边是通过usb等方式登录
使用 cycript 监听微信程序 （输入指令时，需要保持微信在唤醒界面）
cycript -p WeChat
导入李明杰老师写的 mjcript 文件 ，调用下MJFrontVc() 函数既可以知道，当前界面的控制器为BaseMsgContentViewController
还可以使用 reveal 工具也可以。之前文章有介绍，就不过多做介绍了。
三、微信脱壳，以及导出全部的头文件
超找到 BaseMsgContentViewController 头文件，这里使用的是 sublime Text 查看
四、theos微信，hook微信对应文件，及生成 .x 文件
可参考
iOS逆向之theos的安装及环境搭建
iOS 逆向之更改微信布局增加数据的第三节 三、使用theos 编译插件注入到微信中并hook微信对应文件
%hook BaseMsgContentViewController，并为其增加点击方法执行时，输入其方法名，方便后续调试。
使用logify.pl 将一个头文件快速转成已经包含打印信息的x\xm的文件 （我们这边生成 x 文件）
logify.pl xx.h > xx.m
lofgif.pl BaseMsgContentViewController.h > BaseMsgContentViewController.x
将生成好的文件，放入 nic.pl生成的文件夹中（），并且将 BaseMsgContentViewController.x 和原来的 Tweak.x 文件放入一个文件中，命名为 src
设置 Mackfile 文件
生成插件，并注入 make clean && make && make package && make install
make clean && make && make package && make install
在当前情况下，编译会报错，BaseMsgContentViewController.x 文件由于是有机器生成还是有很多地方不完善，所以我们需要对齐进行处理
错误类型
1.error: unknown type name 'xxxxxx'
表示不认识该类型文件，所以声明下改文件
解决方法
先加上 #import <UIKit/UIKit.h>
再 @class xxx 声明下
然后再试一次 make clean && make && make package && make install 继续解决
2. error: no type or protocol named 'BaseMsgContentInBackgroundThreadDelgate'
表示不认识这些协议，同样声明下
解决方法同样声明下这些协议
@protocol BaseMsgContentInBackgroundThreadDelgate, BaseMsgContentDelgate;
3.ARC __weak lifetime qualifier on return type is ignored [-Werror,-Wignored-qualifiers]
解决方法 删除 __weak ，sublime Text 按住comment + shift + f 搜索并替换成空 点击Replace
4. error: unknown type name 'inout'; did you mean 'ino_t'?
解决方法 inout 替换成空 ，和3一样处理
5.- (void).cxx_destruct { %log; %orig; } ，已点. 开头的方法
解决方法 直接删除
6. interface type 'CDUnknownBlockType' cannot be passed by value; did you forget * in 'CDUnknownBlockType'?
查到文件中
改成 void *
7.其他解决方式及小结
删掉 __weak
删除 inout
删除协议，或者声明下协议@protocol XXTestDelegate
删掉- (void).cxx_destruct { %log; %orig; }
删除HBLogDebug(@" = 0x%x", (unsigned int)r);๊
替换类名为void * 比如将 CDUnknownBlockType 替换成 void *
声明下位置的类
五、编译通过，查看方法时间打印信息
xcode -- window -- Devices and Simulators -- open Consloe
--
手机打开指定页面，点击开始，然后手机点击红包，查看输出
打印出，相关信息，查看日志，集合手机图形界面，猜测该方法名字，是否可能是该方法。
六、用hopper分析已经脱壳的mach-o文件
将微信的脱壳的mach-o文件拖入hopper中，等待分析
七、终端链接手机debugserver模式调试 ，打断点
具体步骤可以参考 iOS逆向之动态调试任意APP，终端LLDB、手机debugserver
使其连接LLDB 和debugserver 相互链接
连接成功
给相对应的函数打上断点 我们需要在lldb中输入 breakpoint set -a 函数地址 --> 00000001002462b8
在hopper中搜索函数方法名 onTouchBeginMsg，找到对应的内存地址 但是这个函数地址是没有经过 ASLR（地址空间随机化）的，不是真正的函数地址
计算真实的函数地址需要 需要 知道当前app偏移值 真正的内存地址为，偏移值+ hopper中的到的地址值
获取偏移值
在lldb中输入 image list -o -f | grep Wechat 搜索微信模块 前面部分即为微信在当年手机中的偏移地址值0x00000000007cc000
所以我们打断点的正真写法是
breakpoint set -a 0x00000000007cc000+0x00000001002462b8
断点打成功，注意 需要在获取的内存地址前加上0x ,我第一次报错，就是因为没加
点击微信中的红包，观察终端进入断点
验证下断点是否在函数地址的位置我们用
0x100a122b8 - 0x00000000007cc000 = 0x1002462B8
去hopper中找地址对应的函数
搞定。
八、后续
在终端的llbd 中输入 register read ,查看当前寄存器
po $x0：打印方法调用者
x/s $x1：打印方法名
po $x2：打印参数（以此类推，x3、x4也可能是参数）
如果是非arm64，寄存器就是r0、r1、r2
九、通过debugserver 启动 app
找到app在手机中路径 使用 MJAppTools
$ debugserver -x auto *：端口号 App的执行文件路径
网友评论