阅读 4358

iOS逆向:用Xcode直接调试第三方app

一般动态调试app时,都是在终端里用lldb直接调试,但是用Xcode的Attach to Process也可以连接到真机上的进程进行调试。但是只能调试用自己的证书签名的app。

在Xcode上调试的优点:

  • 有UI界面,查看堆栈更直接,可以用Xcode打断点。
  • 可以使用debug gauges里的Disk和Network等工具。
  • 输入lldb命令时有自动补全。
  • 可以使用Xcode的Debug UI Hierarchy功能,直接查看app的界面布局。
  • 可以使用Xcode的Debug Memory Graph功能,查看当前内存中存在的所有对象,以及对象之间的引用关系。

步骤如下。

1.重签名需要逆向的app

重签名后才能用Xcode attach。而重签名前需要对app进行砸壳。这些步骤就不再重复了。

额外说一句,在砸壳后建议进行一下恢复符号表的操作。恢复符号表后,在调试时就能直接在堆栈中看到方法名,免去了计算偏移量然后在hopper里查找的麻烦。参考:iOS符号表恢复&逆向支付宝, restore-symbol

2.Attach to Process

重签名后安装到越狱设备上,启动app,在Xcode中随便打开一个工程,选择越狱设备,就可以在Debug->Attach to Process中找到正在运行的进程名和进程id,点击后就会开始连接。大概过1分钟就会连接上。

3.查看UI

连接上后,就可以点击使用Xcode的Debug UI Hierarchy来查看界面布局:

UI Hierarchy

注意,Debug UI Hierarchy对Xcode版本似乎有要求,在调试重签名app时,Xcode8.3.2可以,而Xcode8.2就没有这个功能按钮。

4.查看内存信息

点击Debug Memory Graph按钮,可以查看当前内存中存在的数据。打印地址,查看引用关系,可以配合malloc stack进行追踪。如果打开了malloc stack,就可以直接在右边显示这个对象的创建堆栈。参考:iOS逆向:在任意app上开启malloc%20stack追踪内存来源

Memory Graph

5.查看正在使用的文件

debug gauges中的Disk工具可以查看app当前打开的文件。

Open Files

5.instrument调试

类似的,也可以用instrument调试重签名后的app,不过并不是所有工具都可以使用,对逆向的帮助不大。

文章分类
iOS