iOS逆向實戰--003:狀態寄存器

CPU內部的寄存器中,有一種特殊的寄存器(對于不同的處理器,個數和結構都可能不同)。這種寄存器在ARM中,被稱為狀態寄存器就是CPSRcurrent program status register)寄存器。

CPSR和其他寄存器不一樣,其他寄存器是用來存放數據的,都是整個寄存器具有一個含義。而CPSR寄存器是按位起作用的,也就是說,它的每一位都有專門的含義,記錄特定的信息。

CPSR寄存器是32位

  • CPSR低8位(包括IFTM[4:0])稱為控制位,程序無法修改。除非CPU運行于特權模式下,程序才能修改控制位
  • NZCV均為條件碼標志位。它們的內容可被算術或邏輯運算的結果所改變,并且可以決定某條指令是否被執行。意義重大

案例:

改變cpsr寄存器的值,代碼執行流程也會跟隨改變

打開ViewController.m文件,寫入以下代碼:

#import "ViewController.h"

@implementation ViewController

void funcB(int a, int b){
   
   if(a == b){
       printf("a == b");
   }
   else{
       printf("error");
   }
}

- (void)viewDidLoad {
   funcB(10, 20);
}

@end

真機運行項目,使用斷點單步調試,來到funcB函數

  • cmp指令和b.ne指令搭配使用
  • cmp w8, w9:比較w8w9的值
  • b.ne指令,有條件的跳轉

原本代碼流程:funcB函數的ab兩個參數,分別傳入1020。此時w8 ≠ w9,執行b.ne指令,應該跳轉到標號處

b.ne指令的跳轉,和cpsr寄存器有關

cpsr寄存器的值為0x80000000,將0x8轉為二進制1000。將首位1右移一位,變為0100,十六進制位0x4

使用register write命令,改變cpsr寄存器的值為0x40000000

向下執行1步,沒有跳轉到b.ne指令的標號處,而是向下繼續執行了代碼

原本傳入的ab參數,它們的值完全不一樣。但由于cpsr寄存器被改變,導致代碼執行流程跟隨改變

N(Negative)標志

CPSR的第31位是N,符號標志位。它記錄相關指令執行后,其結果是否為負。如果為負N = 1,如果是非負數N = 0

ARM64的指令集中,有的指令在執行時影響狀態寄存器,例如:add\sub\or等,它們大都是運算指令(進行邏輯或算數運算)

案例:

改變N標志位

打開ViewController.m文件,寫入以下代碼:

#import "ViewController.h"

@implementation ViewController

void funcB(int a, int b){
   asm(
       "mov w0,#0x0\n"
       "adds w0,w0,#-0xff\n"
   );
}

- (void)viewDidLoad {
   funcB(10, 20);
}

@end

向下執行1步,將#0x0寫入w0

  • cpst0x40000000,此時N標志位為0

向下執行1步,w0加等#-0xff

  • cpst0x80000000,此時N標志位為1

ARM64中,add加法不帶進位,而adds帶進位的。subsubs是做減法,用法類似。如果指定了s,則這些指令將會根據結果來更新NZCV標記

Z(Zero)標志

CPSR的第30位是Z0標志位。它記錄相關指令執行后,其結果是否為0。如果結果為0,那么Z = 1。如果結果不為0,那么Z = 0

對于Z的值,我們可以這樣來看,Z標記相關指令的計算結果是否為0。如果為0,則Z要記錄下是0這樣的肯定信息。在計算機中1表示邏輯真,表示肯定。所以當結果為0的時候Z = 1,表示結果是0。如果結果不為0,則Z要記錄下不是0這樣的否定信息。在計算機中0表示邏輯假,表示否定。所以當結果不為0的時候Z = 0,表示結果不為0

案例:

改變Z標志位

打開ViewController.m文件,寫入以下代碼:

#import "ViewController.h"

@implementation ViewController

void funcB(int a, int b){
   asm(
       "mov w0,#0x0\n"
       "adds w0,w0,#0x1\n"
   );
}

- (void)viewDidLoad {
   funcB(10, 20);
}

@end

向下執行1步,將#0x0寫入w0

  • cpst0x40000000,此時N標志位為0Z標志位為1

向下執行1步,w0加等#0x1

  • cpst0x00000000,此時N標志位為0Z標志位為0

計算結果為1,結果為非負數,所以N標志位為0。結果不為零,所以Z標志位為0

C(Carry)標志

CPSR的第29位是C,進位標志位。一般情況下,進行無符號數的運算

  • 加法運算:當運算結果產生了進位時(無符號數溢出),C=1,否則C=0
  • 減法運算(包括CMP):當運算時產生了借位時(無符號數溢出),C=0,否則C=1

對于位數為N的無符號數來說,其對應的二進制信息的最高位,即第N - 1位,就是它的最高有效位,而假想存在的第N位,就是相對于最高有效位的更高位

進位

我們知道,當兩個數據相加的時候,有可能產生從最高有效位想更高位的進位。例如:兩個32位數據,0xaaaaaaaa + 0xaaaaaaaa,將產生進位。由于這個進位值在32位中無法保存,我們就只是簡單的說這個進位值丟失了。其實CPU在運算的時候,并不丟棄這個進位制,而是記錄在一個特殊的寄存器的某一位上。ARM下就用C位來記錄這個進位值

案例:

打開ViewController.m文件,寫入以下代碼:

#import "ViewController.h"

@implementation ViewController

void funcB(int a, int b){
   asm(
       "mov w0,#0xaaaaaaaa\n"
       "adds w0,w0,w0\n"
       "adds w0,w0,w0\n"
       "adds w0,w0,w0\n"
       "adds w0,w0,w0\n"
   );
}

- (void)viewDidLoad {
   funcB(10, 20);
}

@end

向下執行1步,將#0xaaaaaaaa寫入w0

  • cpst0x40000000,此時N標志位為0Z標志位為1C標志位為0

向下執行1步,w0加等#0xaaaaaaaa

  • w00x55555554,因為0xaaaaaaaa + 0xaaaaaaaa結果溢出
  • cpst0x30000000,此時N標志位為0Z標志位為0C標志位為1

向下執行1步,w0加等#0x55555554

  • w00xaaaaaaa8
  • cpst0x90000000,此時N標志位為1Z標志位為0C標志位為0

向下執行1步,w0加等#0xaaaaaaa8

  • w00x55555550,因為0xaaaaaaa8 + 0xaaaaaaa8結果溢出
  • cpst0x30000000,此時N標志位為0Z標志位為0C標志位為1

向下執行1步,w0加等#0x55555550

  • w00xaaaaaaa0
  • cpst0x90000000,此時N標志位為1Z標志位為0C標志位為0
借位

當兩個數據做減法的時候,有可能向更高位借位。例如:兩個32位數據:0x00000000 - 0x000000ff,將產生借位。借位后,相當于計算0x100000000 - 0x000000ff。得到0xffffff01這個值。由于借了一位,所以C位用來標記借位

案例:

打開ViewController.m文件,寫入以下代碼:

#import "ViewController.h"

@implementation ViewController

void funcB(){
   asm(
       "mov w0,#0x0\n"
       "subs w0,w0,#0xff\n"
       "subs w0,w0,#0xff\n"
       "subs w0,w0,#0xff\n"
   );
}

- (void)viewDidLoad {
   funcB();
}

@end

向下執行1步,將#0x0寫入w0

  • cpst0x40000000,此時N標志位為0Z標志位為1C標志位為0

向下執行1步,w0減等#0xff

  • w00xffffff01,因為#0x0 - #0xff,結果溢出
  • cpst0x80000000,此時N標志位為1Z標志位為0C標志位為0

向下執行1步,w0減等#0xff

  • w00xfffffe02
  • cpst0xa0000000,此時N標志位為1Z標志位為0C標志位為1

向下執行1步,w0減等#0xff

  • w00xfffffd03
  • cpst0xa0000000,此時N標志位為1Z標志位為0C標志位為1
V(Overflow)溢出標志

CPSR的第28位是V,溢出標志位。在進行有符號數運算的時候,如果超過了機器所能標識的范圍,稱為溢出

  • 正數 + 正數 = 負數,溢出V = 1。否則V = 0
  • 負數 + 負數 = 正數,溢出V = 1。否則V = 0
  • 正數 + 負數,在同等寬度下,不可能溢出

案例1:

正數 + 正數 = 負數

打開ViewController.m文件,寫入以下代碼:

#import "ViewController.h"

@implementation ViewController

void funcB(){
   asm(
       "mov w0,#0xaaaaaaaa\n"
       "adds w0,w0,w0\n"
       "adds w0,w0,w0\n"
   );
}

- (void)viewDidLoad {
   funcB();
}

@end

向下執行1步,將#0xaaaaaaaa寫入w0

  • cpst0x40000000,此時N標志位為0Z標志位為1C標志位為0V標志位為0

向下執行1步,w0加等#0xaaaaaaaa

  • w00x55555554,因為0xaaaaaaaa + 0xaaaaaaaa結果溢出
  • cpst0x30000000,此時N標志位為0Z標志位為0C標志位為1V標志位為1

向下執行1步,w0加等#0x55555554

  • w00xaaaaaaa8,因為0x55555554 + 0x55555554對于有符號數,結果溢出
  • cpst0x90000000,此時N標志位為1Z標志位為0C標志位為0V標志位為1

在計算過程中,底層無法得知當前是無符號數還是有符號數。運算時,C標志位按無符號數運算,而V標志位按有符號數運算

案例2:

負數 + 負數 = 正數

打開ViewController.m文件,寫入以下代碼:

#import "ViewController.h"

@implementation ViewController

void funcB(){
   asm(
       "mov w0,#-0x7fffffff\n"
       "adds w0,w0,w0\n"
   );
}

- (void)viewDidLoad {
   funcB();
}

@end

向下執行1步,將#-0x7fffffff寫入w0

  • cpst0x40000000,此時N標志位為0Z標志位為1C標志位為0V標志位為0

向下執行1步,w0加等#-0x7fffffff

  • w00x00000002,因為#-0x7fffffff + #-0x7fffffff結果溢出
  • cpst0x30000000,此時N標志位為0Z標志位為0C標志位為1V標志位為1
總結

狀態寄存器

  • 狀態寄存器就是CPSR,也稱之為標志寄存器
  • ARM64中,狀態寄存器(cpsr)為32位
  • 最高4位28293031)為標志位

N標志

  • 負標記位
  • 執行結果為負數,N = 1。非負數,N = 0

Z標志

  • 0標記位
  • 結果為0Z = 1。結果非0Z = 0

C標志

  • 無符號數溢出
  • 加法:進位C = 1,否則C = 0
  • 減法:借位C = 0,否則C = 1

V標志

  • 有符號數溢出
  • 正數 + 正數 = 負數,溢出V = 1。否則V = 0
  • 負數 + 負數 = 正數,溢出V = 1。否則V = 0
  • 正數 + 負數,在同等寬度下,不可能溢出

匯編指令
subs指令:和sub指令相似,做減法。影響目標寄存器,同時影響狀態寄存器
adds指令:和add指令相似,做加法。影響目標寄存器,同時影響狀態寄存器

?著作權歸作者所有,轉載或內容合作請聯系作者
平臺聲明:文章內容(如有圖片或視頻亦包括在內)由作者上傳并發布,文章內容僅代表作者本人觀點,簡書系信息發布平臺,僅提供信息存儲服務。
  • 序言:七十年代末,一起剝皮案震驚了整個濱河市,隨后出現的幾起案子,更是在濱河造成了極大的恐慌,老刑警劉巖,帶你破解...
    沈念sama閱讀 228,238評論 6 531
  • 序言:濱河連續發生了三起死亡事件,死亡現場離奇詭異,居然都是意外死亡,警方通過查閱死者的電腦和手機,發現死者居然都...
    沈念sama閱讀 98,430評論 3 415
  • 文/潘曉璐 我一進店門,熙熙樓的掌柜王于貴愁眉苦臉地迎上來,“玉大人,你說我怎么就攤上這事。” “怎么了?”我有些...
    開封第一講書人閱讀 176,134評論 0 373
  • 文/不壞的土叔 我叫張陵,是天一觀的道長。 經常有香客問我,道長,這世上最難降的妖魔是什么? 我笑而不...
    開封第一講書人閱讀 62,893評論 1 309
  • 正文 為了忘掉前任,我火速辦了婚禮,結果婚禮上,老公的妹妹穿的比我還像新娘。我一直安慰自己,他們只是感情好,可當我...
    茶點故事閱讀 71,653評論 6 408
  • 文/花漫 我一把揭開白布。 她就那樣靜靜地躺著,像睡著了一般。 火紅的嫁衣襯著肌膚如雪。 梳的紋絲不亂的頭發上,一...
    開封第一講書人閱讀 55,136評論 1 323
  • 那天,我揣著相機與錄音,去河邊找鬼。 笑死,一個胖子當著我的面吹牛,可吹牛的內容都是我干的。 我是一名探鬼主播,決...
    沈念sama閱讀 43,212評論 3 441
  • 文/蒼蘭香墨 我猛地睜開眼,長吁一口氣:“原來是場噩夢啊……” “哼!你這毒婦竟也來了?” 一聲冷哼從身側響起,我...
    開封第一講書人閱讀 42,372評論 0 288
  • 序言:老撾萬榮一對情侶失蹤,失蹤者是張志新(化名)和其女友劉穎,沒想到半個月后,有當地人在樹林里發現了一具尸體,經...
    沈念sama閱讀 48,888評論 1 334
  • 正文 獨居荒郊野嶺守林人離奇死亡,尸身上長有42處帶血的膿包…… 初始之章·張勛 以下內容為張勛視角 年9月15日...
    茶點故事閱讀 40,738評論 3 354
  • 正文 我和宋清朗相戀三年,在試婚紗的時候發現自己被綠了。 大學時的朋友給我發了我未婚夫和他白月光在一起吃飯的照片。...
    茶點故事閱讀 42,939評論 1 369
  • 序言:一個原本活蹦亂跳的男人離奇死亡,死狀恐怖,靈堂內的尸體忽然破棺而出,到底是詐尸還是另有隱情,我是刑警寧澤,帶...
    沈念sama閱讀 38,482評論 5 359
  • 正文 年R本政府宣布,位于F島的核電站,受9級特大地震影響,放射性物質發生泄漏。R本人自食惡果不足惜,卻給世界環境...
    茶點故事閱讀 44,179評論 3 347
  • 文/蒙蒙 一、第九天 我趴在偏房一處隱蔽的房頂上張望。 院中可真熱鬧,春花似錦、人聲如沸。這莊子的主人今日做“春日...
    開封第一講書人閱讀 34,588評論 0 26
  • 文/蒼蘭香墨 我抬頭看了看天上的太陽。三九已至,卻和暖如春,著一層夾襖步出監牢的瞬間,已是汗流浹背。 一陣腳步聲響...
    開封第一講書人閱讀 35,829評論 1 283
  • 我被黑心中介騙來泰國打工, 沒想到剛下飛機就差點兒被人妖公主榨干…… 1. 我叫王不留,地道東北人。 一個月前我還...
    沈念sama閱讀 51,610評論 3 391
  • 正文 我出身青樓,卻偏偏與公主長得像,于是被迫代替她去往敵國和親。 傳聞我的和親對象是個殘疾皇子,可洞房花燭夜當晚...
    茶點故事閱讀 47,916評論 2 372

推薦閱讀更多精彩內容