動(dòng)態(tài)調(diào)試

一、什么是動(dòng)態(tài)調(diào)試

• 1. 動(dòng)態(tài)調(diào)試就是將程序運(yùn)行起來(lái)，通過(guò)打斷點(diǎn)、打印等方式，查看參數(shù)、返回值、函數(shù)調(diào)用流程等信息
• 2. 之前我們說(shuō)的靜態(tài)分析，就是程序不運(yùn)行的時(shí)候，對(duì)程序的可執(zhí)行文件進(jìn)行分析，分析頭文件、偽代碼之類的信息
• 3. 學(xué)會(huì)動(dòng)態(tài)調(diào)試之后，我們就可以分析某個(gè)程序的整體調(diào)用流程了，例如：分析微信搶紅包的時(shí)候，就可以知道微信調(diào)用了哪些方法去搶紅包，以便我們hook

二、Xcode動(dòng)態(tài)調(diào)試的原理

• 1. 其實(shí)Xcode自帶的LLDB工具，就是動(dòng)態(tài)調(diào)試的工具，我們平常開(kāi)發(fā)的時(shí)候也一直在用，在Xcode打斷點(diǎn)，程序就會(huì)暫停，輸入lldb指令，就會(huì)出現(xiàn)結(jié)果，那么Xcode動(dòng)態(tài)調(diào)試的原理是怎樣的呢？
• 2. Xcode動(dòng)態(tài)調(diào)試的原理是這樣的：我們用Xcode啟動(dòng)程序的時(shí)候，就會(huì)在自動(dòng)在手機(jī)上安裝一個(gè)debugserver程序，Xcode的LLDB工具會(huì)跟debugserver程序進(jìn)行交互，將lldb指令傳輸給debugserver程序，debugserver程序又會(huì)將lldb指令傳輸給App，App執(zhí)行完之后，會(huì)將返回值傳輸給debugserver程序，debugserver程序又發(fā)給LLDB，在控制臺(tái)顯示出結(jié)果，如下圖所示：
     
     Xcode動(dòng)態(tài)調(diào)試的原理.png
• 3. debugserver程序一開(kāi)始是存放在Mac中的Xcode里面的，手機(jī)里是沒(méi)有的，只有當(dāng)Xcode識(shí)別到手機(jī)設(shè)備時(shí)，才會(huì)自動(dòng)把debugserver程序安裝到手機(jī)上。debugserver的具體路徑，如下所示

debugserver在Mac上的路徑是：
/Applications/Xcode.app/Contents/Developer/Platforms/iPhoneOS.platform/DeviceSupport/13.2/DeveloperDiskImage.dmg/usr/bin/debugserver

debugserver安裝到手機(jī)的路徑是：
/Developer/usr/bin/debugserver

• 4. 需要注意的是，Xcode動(dòng)態(tài)調(diào)試，只能調(diào)試通過(guò)Xcode安裝的App，也就是說(shuō)我們逆向別人App的時(shí)候，是無(wú)法用Xcode動(dòng)態(tài)調(diào)試來(lái)調(diào)試的，那么如何才能調(diào)試任意App呢？

三、動(dòng)態(tài)調(diào)試任意App的原理

• 1. 想要調(diào)試任意App，我們就需要用終端取代Xcode，終端里的LLDB工具與手機(jī)的debugserver程序交互，來(lái)傳輸lldb命令，如下所示：
     
     動(dòng)態(tài)調(diào)試任意App原理.png
• 2. 我們知道Xcode安裝的debugserver只能與Xcode安裝的App進(jìn)行交互，因?yàn)樯澈袡C(jī)制的原因，導(dǎo)致debugserver沒(méi)有權(quán)限與其他App產(chǎn)生交互，所以我們還需要給debugserver賦予相應(yīng)的權(quán)限，才能與任意App進(jìn)行交互
• 3. 動(dòng)態(tài)調(diào)試任意App只需要三步：將有權(quán)限的debugser安裝到手機(jī)、讓debugserver與App建立交互、讓debugserver與LLDB產(chǎn)生交互

四、動(dòng)態(tài)調(diào)試任意App的第一步：將有權(quán)限的debugserver安裝到手機(jī)

這一步是一勞永逸的，安裝完后，以后只需要第二步和第三步，就可以啟動(dòng)動(dòng)態(tài)調(diào)試了

• 1. 在Mac的中找到與手機(jī)系統(tǒng)版本對(duì)應(yīng)的debugserver程序，Mac中的路徑如下：
     /Applications/Xcode.app/Contents/Developer/Platforms/iPhoneOS.platform/DeviceSupport/13.2/DeveloperDiskImage.dmg/usr/bin/debugserver
• 2. 使用ldid簽名工具給debugserver新增兩個(gè)權(quán)限：get-task-allow、 task_for_pid-allow，這兩個(gè)都是Bool值，設(shè)置為YES，新增權(quán)限流程如下：

  • (1). 通過(guò)ldid命令，導(dǎo)出debugserver現(xiàn)有的權(quán)限，命令是：
    $ ldid -e debugserver > debugserver.entitlements

  • (2). 編輯debugserver.entitlements文件，新增get-task-allow、 task_for_pid-allow，值設(shè)置為YES，如下圖所示：
    

    編輯debugserver.entitlements文件.png

  • (3). 通過(guò)ldid命令，對(duì)debugserver進(jìn)行重新簽名，命令是：
    $ ldid -Sdebugserver.entitlements debugserver，注意S是大寫(xiě)，并且與debugserver緊挨著。

• 3. 將已經(jīng)簽好權(quán)限的debugserver放到手機(jī)的/usr/bin里面，便于手機(jī)找到debugserver命令

五、動(dòng)態(tài)調(diào)試任意App的第二步：讓debugserver與App建立交互

• 1. 遠(yuǎn)程登錄到手機(jī)后 ，讓debugserver附加到某個(gè)App進(jìn)程，命令如下：

打開(kāi)命令行：sh usb.sh

新建命令行：sh login.sh，登錄到手機(jī)后

讓debugserver附加到某個(gè)App進(jìn)程：$ debugserver 127.0.0.1:端口號(hào) -a 進(jìn)程名

例如讓debugserver附加到微信的進(jìn)程：$ debugserver 127.0.0.1:10011 -a WeChat

• 2. 重點(diǎn)命令就這一句話：$ debugserver 127.0.0.1:端口號(hào) -a 進(jìn)程名，其中127.0.0.1:端口號(hào)代表使用iPhone的某個(gè)端口啟動(dòng)debugserver服務(wù)，只要不是保留端口號(hào)就行

六、動(dòng)態(tài)調(diào)試任意App的第三步：讓debugserver與LLDB建立交互

• 1. 在Mac上啟動(dòng)LLDB服務(wù)，并且遠(yuǎn)程連接到iPhone的debugserver服務(wù)，命令如下：

啟動(dòng)LLDB
` $ lldb    `

連接到iPhone的debugserver服務(wù)
` (lldb) process connect connect://手機(jī)IP地址:debugserver服務(wù)的端口號(hào)  `

以微信為例，連接到iPhone的debugserver服務(wù)：
` (lldb) process connect connect://10.88.211.170:10011  `

• 2. 重點(diǎn)命令就這一句話process connect connect://手機(jī)IP地址:debugserver服務(wù)的端口號(hào)，如果輸入完這句命令后，出現(xiàn)以下提示，就說(shuō)明已經(jīng)動(dòng)態(tài)調(diào)試已經(jīng)就緒，可以執(zhí)行LLDB指令來(lái)調(diào)試了（注意此時(shí)會(huì)處在線程卡死狀態(tài)，需要執(zhí)行(lldb) c命令，讓程序先運(yùn)行起來(lái)）

(lldb) process connect connect://localhost:10011
Process 1194 stopped
* thread #1, queue = 'com.apple.main-thread', stop reason = signal SIGSTOP
    frame #0: 0x000000018da64634 libsystem_kernel.dylib`mach_msg_trap + 8
libsystem_kernel.dylib`mach_msg_trap:
->  0x18da64634 <+8>: ret

libsystem_kernel.dylib`mach_msg_overwrite_trap:
    0x18da64638 <+0>: mov    x16, #-0x20
    0x18da6463c <+4>: svc    #0x80
    0x18da64640 <+8>: ret
Target 0: (WeChat) stopped.

七、使用USB方式動(dòng)態(tài)調(diào)試任意App

• 1. 上面說(shuō)的流程是通過(guò)用Wifi的方式傳輸LLDB命令的，傳輸速度較慢，所以推薦使用USB的方式建立交互，也就是：將Mac的10011端口與iPhone的10011端口建立映射，然后debugserver服務(wù)使用iPhone的10011端口，此時(shí)Mac的LLDB工具與Mac的10011端口傳輸數(shù)據(jù)就相當(dāng)于與iPhone的10011端口傳輸數(shù)據(jù)，如下所示：

在Mac上輸入命令，讓10011端口與10011端口映射、10010與22端口映射
`python /Users/songpeng/Documents/python-client/tcprelay.py -t 22:10010 10011:10011`

在iPhone上執(zhí)行下面的命令，啟動(dòng)debugserver服務(wù)，端口號(hào)為10011
`$ debugserver 127.0.0.1:10011 -a WeChat`

在Mac上執(zhí)行以下命令，讓LLDB與本地的10011傳輸數(shù)據(jù)，由于映射已經(jīng)建立，就相當(dāng)于給iPhone的debugserver服務(wù)發(fā)送數(shù)據(jù)
`$ lldb  `
`(lldb) process connect connect://localhost:10011 `

• 2. 可以將以前寫(xiě)的usb.sh文件的內(nèi)容改成python /Users/songpeng/Documents/python-client/tcprelay.py -t 22:10010 10011:10011，這樣即可以用USB的方式SSH登錄到手機(jī)，也可以以USB的方式讓LLDB與debugserver建立交互。以后使用起來(lái)就很方便了

- 3. 我們總結(jié)一下，使用USB方式動(dòng)態(tài)調(diào)試任意App的全部流程，如下所示，以后忘記原理沒(méi)關(guān)系，只需要按順序輸入以下命令，就可以順利開(kāi)啟動(dòng)態(tài)調(diào)試

在Mac上打開(kāi)命令行窗口，讓10011端口與10011端口映射、10010與22端口映射
`$ sh usb.sh`

在Mac上新建命令行窗口，然后SSH登陸到手機(jī)
`$ sh login.sh`

登錄到手機(jī)后，啟動(dòng)手機(jī)的debugserver服務(wù)，讓其與App建立交互
`iPhone7ceshiji:~ root# debugserver 127.0.0.1:10011 -a WeChat`

在Mac上新建命令行窗口，進(jìn)入lldb工具，并且讓LLDB與debugserver建立交互
`$ lldb`
`(lldb) process connect connect://localhost:10011`

使用LLDB命令c，先讓程序繼續(xù)運(yùn)行
`(lldb) c`

• 4. 動(dòng)態(tài)調(diào)試建立好之后，我們就可以使用LLDB指令，來(lái)正式開(kāi)始調(diào)試了

八、LLDB指令

• 1. LLDB指令的格式是：
     <command> [<subcommand> [<subcommand>...]] <action> [-options [option- value]] [argument [argument...]]，其中，command代表命令，subcommand代表子命令，action代表命令的動(dòng)作，- options 代表命令的選項(xiàng)，argument代表命令的參數(shù)，[]中的可以省略。
• 2. help命令，用于查看指令的用法，例如：help breakpoint、help breakpoint set
• 3. expression命令，執(zhí)行一個(gè)表達(dá)式，例如：expression self.view.backgroundColor = [UIColor redColor]，expression與print、p、call的效果一樣
• 4. thread backtrace命令，打印線程的堆棧信息，與bt命令效果一樣
• 5. thread return []命令，讓函數(shù)直接返回某個(gè)值，不會(huì)執(zhí)行斷點(diǎn)后面的代碼了，例如：thread return 3，返回了3
• 6. frame variable []命令，打印當(dāng)前棧幀的變量
• 7. thread continue、continue、c命令，讓程序繼續(xù)運(yùn)行
• 8. thread step-over、next、n命令，單步執(zhí)行，把子函數(shù)當(dāng)做一個(gè)整體，不會(huì)進(jìn)入子函數(shù)
• 9. thread step-in、step、s命令，單步執(zhí)行，遇到子函數(shù)會(huì)進(jìn)入子函數(shù)內(nèi)部
• 10. breakpoint set命令，設(shè)置斷點(diǎn)，參數(shù)主要有以下幾種：
  • breakpoint set -a 函數(shù)地址
  • breakpoint set -n 函數(shù)名
  • breakpoint set -r 正則表達(dá)式
  • breakpoint set -s 動(dòng)態(tài)庫(kù) -n 函數(shù)名
• 11. breakpoint list命令，列出所有的斷點(diǎn)，每個(gè)斷點(diǎn)都有自己的編號(hào)
• 12. breakpoint delete 斷點(diǎn)編號(hào)命令，刪除某個(gè)斷點(diǎn)
• 13. breakpoint command add 斷點(diǎn)編號(hào)命令，給斷點(diǎn)預(yù)先設(shè)置需要執(zhí)行的命令，到觸發(fā)斷點(diǎn)時(shí)，就會(huì)按順序執(zhí)行
• 14. breakpoint command list 斷點(diǎn)編號(hào)命令，查看某個(gè)斷點(diǎn)的預(yù)設(shè)命令
• 15. watchpoint內(nèi)存斷點(diǎn)，就是當(dāng)內(nèi)存數(shù)據(jù)改變時(shí)，觸發(fā)此斷點(diǎn)，以便確認(rèn)是誰(shuí)修改了內(nèi)存，子命令主要有以下幾種：

  • watchpoint set variable 變量，例如：watchpoint set variable self->_age，當(dāng)age變量改變時(shí)，斷點(diǎn)就會(huì)觸發(fā)，以便找到修改age內(nèi)存的代碼

  • watchpoint set expression 地址，例如：watchpoint set expression &self->_age

  • watchpoint list，列出所有的內(nèi)存斷點(diǎn)

  • watchpoint delete 斷點(diǎn)編號(hào)，刪除此內(nèi)存斷點(diǎn)

  • watchpoint command add 斷點(diǎn)編號(hào)，給此內(nèi)存斷點(diǎn)，增加預(yù)設(shè)命令

• 16. image lookup，尋找模塊信息，如果你想找某個(gè)類型、某個(gè)方法、某個(gè)地址在模塊中的什么位置，就可以用這個(gè)命令，主要參數(shù)如下：
  • image lookup -t 類型，查找某個(gè)類型的信息，例如image lookup -t NSInterger
  • image lookup -a 地址，看看某個(gè)內(nèi)存地址在模塊中的位置
  • image lookup -n 符號(hào)或者函數(shù)名，查找某個(gè)符號(hào)或者函數(shù)的位置
• 17. image list，列出所加載的模塊信息
• 18. 一些小技巧：敲Enter會(huì)自動(dòng)執(zhí)行上次的命令、絕大部分命令可以使用縮寫(xiě)