動(dòng)態(tài)調(diào)試

一务蝠、什么是動(dòng)態(tài)調(diào)試

• 1. 動(dòng)態(tài)調(diào)試就是將程序運(yùn)行起來弱卡，通過打斷點(diǎn)、打印等方式抛姑，查看參數(shù)耘成、返回值榔昔、函數(shù)調(diào)用流程等信息
• 2. 之前我們說的靜態(tài)分析，就是程序不運(yùn)行的時(shí)候瘪菌，對(duì)程序的可執(zhí)行文件進(jìn)行分析件豌，分析頭文件、偽代碼之類的信息
• 3. 學(xué)會(huì)動(dòng)態(tài)調(diào)試之后控嗜，我們就可以分析某個(gè)程序的整體調(diào)用流程了，例如：分析微信搶紅包的時(shí)候骡显，就可以知道微信調(diào)用了哪些方法去搶紅包疆栏，以便我們hook

二曾掂、Xcode動(dòng)態(tài)調(diào)試的原理

• 1. 其實(shí)Xcode自帶的LLDB工具，就是動(dòng)態(tài)調(diào)試的工具壁顶，我們平常開發(fā)的時(shí)候也一直在用珠洗，在Xcode打斷點(diǎn)，程序就會(huì)暫停若专，輸入lldb指令许蓖，就會(huì)出現(xiàn)結(jié)果，那么Xcode動(dòng)態(tài)調(diào)試的原理是怎樣的呢调衰？
• 2. Xcode動(dòng)態(tài)調(diào)試的原理是這樣的：我們用Xcode啟動(dòng)程序的時(shí)候膊爪，就會(huì)在自動(dòng)在手機(jī)上安裝一個(gè)debugserver程序，Xcode的LLDB工具會(huì)跟debugserver程序進(jìn)行交互嚎莉，將lldb指令傳輸給debugserver程序米酬，debugserver程序又會(huì)將lldb指令傳輸給App，App執(zhí)行完之后趋箩，會(huì)將返回值傳輸給debugserver程序赃额，debugserver程序又發(fā)給LLDB，在控制臺(tái)顯示出結(jié)果叫确，如下圖所示：
     
     Xcode動(dòng)態(tài)調(diào)試的原理.png
• 3. debugserver程序一開始是存放在Mac中的Xcode里面的跳芳，手機(jī)里是沒有的，只有當(dāng)Xcode識(shí)別到手機(jī)設(shè)備時(shí)竹勉，才會(huì)自動(dòng)把debugserver程序安裝到手機(jī)上飞盆。debugserver的具體路徑，如下所示

debugserver在Mac上的路徑是：
/Applications/Xcode.app/Contents/Developer/Platforms/iPhoneOS.platform/DeviceSupport/13.2/DeveloperDiskImage.dmg/usr/bin/debugserver

debugserver安裝到手機(jī)的路徑是：
/Developer/usr/bin/debugserver

• 4. 需要注意的是饶米，Xcode動(dòng)態(tài)調(diào)試桨啃，只能調(diào)試通過Xcode安裝的App，也就是說我們逆向別人App的時(shí)候檬输，是無法用Xcode動(dòng)態(tài)調(diào)試來調(diào)試的照瘾，那么如何才能調(diào)試任意App呢？

三丧慈、動(dòng)態(tài)調(diào)試任意App的原理

• 1. 想要調(diào)試任意App析命，我們就需要用終端取代Xcode，終端里的LLDB工具與手機(jī)的debugserver程序交互逃默，來傳輸lldb命令鹃愤，如下所示：
     
     動(dòng)態(tài)調(diào)試任意App原理.png
• 2. 我們知道Xcode安裝的debugserver只能與Xcode安裝的App進(jìn)行交互，因?yàn)樯澈袡C(jī)制的原因完域，導(dǎo)致debugserver沒有權(quán)限與其他App產(chǎn)生交互软吐，所以我們還需要給debugserver賦予相應(yīng)的權(quán)限，才能與任意App進(jìn)行交互
• 3. 動(dòng)態(tài)調(diào)試任意App只需要三步：將有權(quán)限的debugser安裝到手機(jī)吟税、讓debugserver與App建立交互凹耙、讓debugserver與LLDB產(chǎn)生交互

四姿现、動(dòng)態(tài)調(diào)試任意App的第一步：將有權(quán)限的debugserver安裝到手機(jī)

這一步是一勞永逸的，安裝完后肖抱，以后只需要第二步和第三步备典，就可以啟動(dòng)動(dòng)態(tài)調(diào)試了

• 1. 在Mac的中找到與手機(jī)系統(tǒng)版本對(duì)應(yīng)的debugserver程序，Mac中的路徑如下：
     /Applications/Xcode.app/Contents/Developer/Platforms/iPhoneOS.platform/DeviceSupport/13.2/DeveloperDiskImage.dmg/usr/bin/debugserver
• 2. 使用ldid簽名工具給debugserver新增兩個(gè)權(quán)限：get-task-allow意述、 task_for_pid-allow提佣，這兩個(gè)都是Bool值，設(shè)置為YES荤崇，新增權(quán)限流程如下：

  • (1). 通過ldid命令拌屏，導(dǎo)出debugserver現(xiàn)有的權(quán)限，命令是：
    $ ldid -e debugserver > debugserver.entitlements

  • (2). 編輯debugserver.entitlements文件天试，新增get-task-allow槐壳、 task_for_pid-allow，值設(shè)置為YES喜每，如下圖所示：
    

    編輯debugserver.entitlements文件.png

  • (3). 通過ldid命令务唐，對(duì)debugserver進(jìn)行重新簽名，命令是：
    $ ldid -Sdebugserver.entitlements debugserver带兜，注意S是大寫枫笛，并且與debugserver緊挨著。

• 3. 將已經(jīng)簽好權(quán)限的debugserver放到手機(jī)的/usr/bin里面刚照，便于手機(jī)找到debugserver命令

五刑巧、動(dòng)態(tài)調(diào)試任意App的第二步：讓debugserver與App建立交互

• 1. 遠(yuǎn)程登錄到手機(jī)后 ，讓debugserver附加到某個(gè)App進(jìn)程无畔，命令如下：

打開命令行：sh usb.sh

新建命令行：sh login.sh啊楚，登錄到手機(jī)后

讓debugserver附加到某個(gè)App進(jìn)程：$ debugserver 127.0.0.1:端口號(hào) -a 進(jìn)程名

例如讓debugserver附加到微信的進(jìn)程：$ debugserver 127.0.0.1:10011 -a WeChat

• 2. 重點(diǎn)命令就這一句話：$ debugserver 127.0.0.1:端口號(hào) -a 進(jìn)程名，其中127.0.0.1:端口號(hào)代表使用iPhone的某個(gè)端口啟動(dòng)debugserver服務(wù)浑彰，只要不是保留端口號(hào)就行

六恭理、動(dòng)態(tài)調(diào)試任意App的第三步：讓debugserver與LLDB建立交互

• 1. 在Mac上啟動(dòng)LLDB服務(wù)，并且遠(yuǎn)程連接到iPhone的debugserver服務(wù)郭变，命令如下：

啟動(dòng)LLDB
` $ lldb    `

連接到iPhone的debugserver服務(wù)
` (lldb) process connect connect://手機(jī)IP地址:debugserver服務(wù)的端口號(hào)  `

以微信為例颜价，連接到iPhone的debugserver服務(wù)：
` (lldb) process connect connect://10.88.211.170:10011  `

• 2. 重點(diǎn)命令就這一句話process connect connect://手機(jī)IP地址:debugserver服務(wù)的端口號(hào)，如果輸入完這句命令后诉濒，出現(xiàn)以下提示周伦，就說明已經(jīng)動(dòng)態(tài)調(diào)試已經(jīng)就緒，可以執(zhí)行LLDB指令來調(diào)試了（注意此時(shí)會(huì)處在線程卡死狀態(tài)未荒，需要執(zhí)行(lldb) c命令专挪，讓程序先運(yùn)行起來）

(lldb) process connect connect://localhost:10011
Process 1194 stopped
* thread #1, queue = 'com.apple.main-thread', stop reason = signal SIGSTOP
    frame #0: 0x000000018da64634 libsystem_kernel.dylib`mach_msg_trap + 8
libsystem_kernel.dylib`mach_msg_trap:
->  0x18da64634 <+8>: ret

libsystem_kernel.dylib`mach_msg_overwrite_trap:
    0x18da64638 <+0>: mov    x16, #-0x20
    0x18da6463c <+4>: svc    #0x80
    0x18da64640 <+8>: ret
Target 0: (WeChat) stopped.

七、使用USB方式動(dòng)態(tài)調(diào)試任意App

• 1. 上面說的流程是通過用Wifi的方式傳輸LLDB命令的，傳輸速度較慢狈蚤，所以推薦使用USB的方式建立交互困肩，也就是：將Mac的10011端口與iPhone的10011端口建立映射，然后debugserver服務(wù)使用iPhone的10011端口脆侮，此時(shí)Mac的LLDB工具與Mac的10011端口傳輸數(shù)據(jù)就相當(dāng)于與iPhone的10011端口傳輸數(shù)據(jù)，如下所示：

在Mac上輸入命令勇劣，讓10011端口與10011端口映射靖避、10010與22端口映射
`python /Users/songpeng/Documents/python-client/tcprelay.py -t 22:10010 10011:10011`

在iPhone上執(zhí)行下面的命令，啟動(dòng)debugserver服務(wù)比默，端口號(hào)為10011
`$ debugserver 127.0.0.1:10011 -a WeChat`

在Mac上執(zhí)行以下命令幻捏，讓LLDB與本地的10011傳輸數(shù)據(jù)，由于映射已經(jīng)建立命咐，就相當(dāng)于給iPhone的debugserver服務(wù)發(fā)送數(shù)據(jù)
`$ lldb  `
`(lldb) process connect connect://localhost:10011 `

• 2. 可以將以前寫的usb.sh文件的內(nèi)容改成python /Users/songpeng/Documents/python-client/tcprelay.py -t 22:10010 10011:10011篡九，這樣即可以用USB的方式SSH登錄到手機(jī)，也可以以USB的方式讓LLDB與debugserver建立交互醋奠。以后使用起來就很方便了

- 3. 我們總結(jié)一下榛臼，使用USB方式動(dòng)態(tài)調(diào)試任意App的全部流程，如下所示窜司，以后忘記原理沒關(guān)系沛善，只需要按順序輸入以下命令，就可以順利開啟動(dòng)態(tài)調(diào)試

在Mac上打開命令行窗口塞祈，讓10011端口與10011端口映射金刁、10010與22端口映射
`$ sh usb.sh`

在Mac上新建命令行窗口，然后SSH登陸到手機(jī)
`$ sh login.sh`

登錄到手機(jī)后议薪，啟動(dòng)手機(jī)的debugserver服務(wù)尤蛮，讓其與App建立交互
`iPhone7ceshiji:~ root# debugserver 127.0.0.1:10011 -a WeChat`

在Mac上新建命令行窗口，進(jìn)入lldb工具斯议，并且讓LLDB與debugserver建立交互
`$ lldb`
`(lldb) process connect connect://localhost:10011`

使用LLDB命令c产捞，先讓程序繼續(xù)運(yùn)行
`(lldb) c`

• 4. 動(dòng)態(tài)調(diào)試建立好之后，我們就可以使用LLDB指令捅位，來正式開始調(diào)試了

八轧葛、LLDB指令

• 1. LLDB指令的格式是：
     <command> [<subcommand> [<subcommand>...]] <action> [-options [option- value]] [argument [argument...]]，其中艇搀，command代表命令尿扯，subcommand代表子命令，action代表命令的動(dòng)作焰雕，- options 代表命令的選項(xiàng)衷笋，argument代表命令的參數(shù)，[]中的可以省略矩屁。
• 2. help命令辟宗，用于查看指令的用法爵赵，例如：help breakpoint、help breakpoint set
• 3. expression命令泊脐，執(zhí)行一個(gè)表達(dá)式空幻，例如：expression self.view.backgroundColor = [UIColor redColor]，expression與print容客、p秕铛、call的效果一樣
• 4. thread backtrace命令，打印線程的堆棧信息缩挑，與bt命令效果一樣
• 5. thread return []命令但两，讓函數(shù)直接返回某個(gè)值，不會(huì)執(zhí)行斷點(diǎn)后面的代碼了供置，例如：thread return 3谨湘，返回了3
• 6. frame variable []命令，打印當(dāng)前棧幀的變量
• 7. thread continue芥丧、continue紧阔、c命令，讓程序繼續(xù)運(yùn)行
• 8. thread step-over娄柳、next寓辱、n命令，單步執(zhí)行赤拒，把子函數(shù)當(dāng)做一個(gè)整體秫筏，不會(huì)進(jìn)入子函數(shù)
• 9. thread step-in、step挎挖、s命令这敬，單步執(zhí)行，遇到子函數(shù)會(huì)進(jìn)入子函數(shù)內(nèi)部
• 10. breakpoint set命令蕉朵，設(shè)置斷點(diǎn)崔涂，參數(shù)主要有以下幾種：
  • breakpoint set -a 函數(shù)地址
  • breakpoint set -n 函數(shù)名
  • breakpoint set -r 正則表達(dá)式
  • breakpoint set -s 動(dòng)態(tài)庫(kù) -n 函數(shù)名
• 11. breakpoint list命令，列出所有的斷點(diǎn)始衅，每個(gè)斷點(diǎn)都有自己的編號(hào)
• 12. breakpoint delete 斷點(diǎn)編號(hào)命令冷蚂，刪除某個(gè)斷點(diǎn)
• 13. breakpoint command add 斷點(diǎn)編號(hào)命令，給斷點(diǎn)預(yù)先設(shè)置需要執(zhí)行的命令汛闸，到觸發(fā)斷點(diǎn)時(shí)蝙茶，就會(huì)按順序執(zhí)行
• 14. breakpoint command list 斷點(diǎn)編號(hào)命令，查看某個(gè)斷點(diǎn)的預(yù)設(shè)命令
• 15. watchpoint內(nèi)存斷點(diǎn)诸老，就是當(dāng)內(nèi)存數(shù)據(jù)改變時(shí)隆夯，觸發(fā)此斷點(diǎn)，以便確認(rèn)是誰修改了內(nèi)存，子命令主要有以下幾種：

  • watchpoint set variable 變量蹄衷，例如：watchpoint set variable self->_age忧额，當(dāng)age變量改變時(shí)，斷點(diǎn)就會(huì)觸發(fā)愧口，以便找到修改age內(nèi)存的代碼

  • watchpoint set expression 地址睦番，例如：watchpoint set expression &self->_age

  • watchpoint list，列出所有的內(nèi)存斷點(diǎn)

  • watchpoint delete 斷點(diǎn)編號(hào)调卑，刪除此內(nèi)存斷點(diǎn)

  • watchpoint command add 斷點(diǎn)編號(hào)抡砂，給此內(nèi)存斷點(diǎn)，增加預(yù)設(shè)命令

• 16. image lookup恬涧，尋找模塊信息，如果你想找某個(gè)類型碴巾、某個(gè)方法溯捆、某個(gè)地址在模塊中的什么位置，就可以用這個(gè)命令厦瓢，主要參數(shù)如下：
  • image lookup -t 類型提揍，查找某個(gè)類型的信息，例如image lookup -t NSInterger
  • image lookup -a 地址煮仇，看看某個(gè)內(nèi)存地址在模塊中的位置
  • image lookup -n 符號(hào)或者函數(shù)名劳跃，查找某個(gè)符號(hào)或者函數(shù)的位置
• 17. image list，列出所加載的模塊信息
• 18. 一些小技巧：敲Enter會(huì)自動(dòng)執(zhí)行上次的命令浙垫、絕大部分命令可以使用縮寫