lldb动态调试

淩亂°似流年 2022-07-18 04:12 232阅读 0赞

我发现，自己不做笔记吧，忘的太快。这不，刚刚又忘了怎么使用lldb动态调试呢。

参考链接：[http://gslab.qq.com/portal.php?mod=view&aid=159][http_gslab.qq.com_portal.php_mod_view_aid_159]

1、工具

lldb

debugserver (安装？可 参考：[点我吧][Link 1] )

openssh

terminal

2 、环境

os x EI capition

ios 9.3.2(越狱)

3、iOS设备操作

A、首先用mac使用连接上自己的iPhone，命令：ssh root@设备IP

B 、选择需要调试的app，这里的app，是我自己写的一个app，做测试用。方法：ps -e | grep arm64

C、启动debugserver ，设置监听端口，等待lldb接入。方法：debugserver \*:端口号 -a app的PID

出现 ： Listening to port ..... " 的字样，说明监听成功了。

![Center][]

iphone设备操作结束。

4、Mac终端操作

重新开一个终端。

A、在终端键入命令：lldb，进入lldb命令行模式，然后使用 process connect 命令链接设备。命令格式：process connect connect://设备IP:监听端口号

![Center 1][]

这时，会发现，iOS设备终端会有下面的输出：

![Center 2][]

B、接下来就是分析模块啦。我用 hopper disassemble 查找到对应的数据偏移量：0x100005430

![Center 3][]

C、回到终端，键入命令：image list -o -f,查看内存基址：0x94000

![Center 4][]

这里，先稍等下，还得先定位我们查找的偏移量在内存中的实际地址。基址有了，偏移量也有了，当然，实际地址＝基址＋偏移量。那么，我这里的实际地址为：0x94000+0x100005340 = 0x100099340。

D、知道了内存的实际位置，接下来就可以查看反汇编代码啦。是用命：disassemble --start-address \[start\_address\] --count \[byte size\]。瞧：

![Center 5][]

等等， 没觉得这个很熟悉吗？ 这里反汇编出来的代码和hopper disassemble 工具反汇编出来的代码惊人的相似呢。可见 hopper disassemble 的强悍之处。区别：终端显示的立即数是 10 进制的，而hopper disassemble 显示的 十六进制。

E、得到实际的地址 0x100099340 后， 就可以下断调试了。lldb 下断命令：br s -a \[地址\] 。

![Center 6][]

还可以使用lldb 的 break list命令查看已经下好大的断点。

F、下断后，就可以查看内存地址里面的值和寄存器的值了。查看寄存器的值的命令：register read

![Center 7][]

是不是有点 不一样呢？我第一次也是这样认为的，之前学习汇编的时候，寄存器是用 R0， R1 等这类的符号表示的，不过，没差，X1 依然等于 R1。

G、查看内存地址的命令：memory read/10xh \[地址\]。这里，我查看的是寄存器号为23的地址内容。

![Center 8][]

H、修改寄存器值的命令：register write \[寄存器号\] ［值］。我这里把 R0（X0）的值修改为1，使用register read ［寄存器号］查看修改结果：

![Center 9][]

内存值的修改，命令：memory write ［address］ ［value］. 使用 memory read 查看修改结果。

I、dump 内存

lldb dump 内存的命令：memory read --outfile ［文件名］ --binary \[start\_address\] \[end\_address\] , 我这里 dump的是 我之前下断的那部分代码。

![Center 10][]

至此，调试告一段落～～～～～～

附：自己做的调试用的APP截图：

![Center 11][]

[http_gslab.qq.com_portal.php_mod_view_aid_159]: http://gslab.qq.com/portal.php?mod=view&aid=159
[Link 1]: http://blog.csdn.net/hk_5788/article/details/52304109
[Center]: /images/20220717/a20bd3eb243143c793150ed875422577.png
[Center 1]: /images/20220717/2a3bac478ab34c2f887cae221553b97b.png
[Center 2]: /images/20220717/11061d7453e14735b5d1330a7a399181.png
[Center 3]: /images/20220717/0de10e5b7fce4d4c9185cf6aa7699675.png
[Center 4]: /images/20220717/7f0b9635585247a1bcdca3aeb74779f5.png
[Center 5]: /images/20220717/4df051913f5848c1906e618a03ce7d8c.png
[Center 6]: /images/20220717/31657498c0874c87a2045981bee22e60.png
[Center 7]: /images/20220717/7704b53d379c4bbfa58a1660514b21e8.png
[Center 8]: /images/20220717/40ab2134dc0d494cb75af68d2228c59e.png
[Center 9]: /images/20220717/eff857425274424e90986c8d845f4746.png
[Center 10]: /images/20220717/abb33854387d496bbb30dd0fef1b1447.png
[Center 11]: /images/20220717/17c23bd8bddb4273a961725c3163cce0.png