131 lines
7.3 KiB
Markdown
131 lines
7.3 KiB
Markdown
---
|
||
name: re-lldb
|
||
description: >
|
||
lldb 调试（macOS/iOS）：attach、expr、image。
|
||
触发词：lldb、macOS调试、iOS调试
|
||
capabilities: [debugging]
|
||
---
|
||
|
||
# lldb 动态调试（macOS/iOS）
|
||
|
||
## 何时使用 / 何时不用
|
||
|
||
- 用：macOS/iOS 目标动态调试（attach/启动/断点/表达式求值/符号查找）
|
||
- 用：Linux 上调试带 DWARF 的调试版程序（lldb 与 clang 工具链同源，DWARF 处理成熟）
|
||
- 不用：Linux 目标（[[re-gdb]]）、Windows 目标（[[re-x64dbg]]）
|
||
- 不用：iOS 越狱/证书环境问题（属 [[re-mobile]] 域）；只读内存（[[re-memdump]] 默认转储优先）
|
||
- 不用：脚本化大批量内存转储/取证（[[re-memdump]] / [[re-mem-forensics]] 更对口）
|
||
|
||
## 工具准备
|
||
|
||
参考 [[re-analyze/platform-tips]] macOS 分支——SIP 与 TCC 限制 attach，需 Developer Tools 授权。
|
||
|
||
### lldb
|
||
|
||
- macOS: 自带（Xcode Command Line Tools: `xcode-select --install`）
|
||
- Linux: `apt install lldb` / `dnf install lldb` / `pacman -S lldb`
|
||
- macOS 更全: `brew install llvm`（含新版 lldb）
|
||
- 验证: `lldb --version`
|
||
- 版本差异: Xcode 自带 lldb、llvm.org 的 lldb、Swift 工具链 lldb 功能近似但版本号不同（`lldb --version` 确认）；脚本依赖 `lldb.SBDebugger` API 时跨版本兼容性需验证（见 [[gotchas]]）
|
||
|
||
### SIP 关闭或授权（attach 前置）
|
||
|
||
- 系统设置 > 隐私与安全性 > 开发者工具 > 授权使用 lldb 的终端（TCC 授权）
|
||
- 旧系统: `sudo DevToolsSecurity -enable`
|
||
- 说明: 一般不要关 SIP（可只对调试需求临时处理）；iOS 内核级调试需 KDK/开发内核，属 [[re-mobile]] 域
|
||
|
||
## 操作步骤
|
||
|
||
1. **Developer Tools 权限确认**：
|
||
```sh
|
||
lldb -p <测试进程pid> # 若报 "please check the developer mode" / 权限拒绝 → 去系统设置授权终端
|
||
```
|
||
授权后重启终端；仍失败再检查 SIP 状态: `csrutil status`。
|
||
注意: TCC 授权弹窗需在系统设置手动确认，无法命令行绕过。
|
||
|
||
2. **attach/启动**：
|
||
```
|
||
(lldb) process attach --pid <pid> # 附加
|
||
(lldb) process attach --name Safari # 按名字附加（需唯一）
|
||
(lldb) target create ./sample # 或直接启动
|
||
(lldb) run --args arg1
|
||
(lldb) continue / c
|
||
```
|
||
iOS 设备: `platform select remote-ios` + `process connect connect://<device>`（需配合调试服务，越狱/证书要求见 [[re-mobile]]）
|
||
- attach 时机注意: 目标已运行过初始化逻辑，入口前行为看不到——需要从入口看就 `target create` + `run` 启动模式
|
||
- 启动停在入口: `process launch --stop-at-entry`（等价 `-s`）
|
||
|
||
3. **`image lookup` 符号**：
|
||
```
|
||
(lldb) image lookup -n main # 按名字查符号
|
||
(lldb) image lookup -a $pc # 按地址查当前所在函数/源行
|
||
(lldb) image list # 已加载镜像（dylib 基址表）
|
||
(lldb) image lookup -rn dispatch # 正则匹配符号
|
||
```
|
||
stripped 二进制用 `image lookup -a` 反查地址归属模块，配合 `image dump symtab`
|
||
- 模块基址: `image list -o` 加偏移列——ASLR 下每次运行基址不同，脚本里先拿基址再算绝对地址（见 [[gotchas]]）
|
||
|
||
4. **内存表达式 `expr`**：
|
||
```
|
||
(lldb) expr $rax
|
||
(lldb) expr $rax = 0 # 写寄存器
|
||
(lldb) expr (char*)0x100000000 # 类型化读地址
|
||
(lldb) expr -O -- @"hello" # Objective-C 求值（objc 运行时）
|
||
(lldb) memory read -c 20 -s 4 -f x $rsp # 读内存（缺 -f x 会报格式冲突错误）
|
||
(lldb) memory write -s 1 0x100000000 0x90 # 写字节（绕过校验）
|
||
```
|
||
- 表达式求值有副作用（会执行代码）——别在敏感路径上乱求值，见 [[gotchas]]
|
||
|
||
5. **断点与脚本**：
|
||
```
|
||
(lldb) breakpoint set -n main
|
||
(lldb) breakpoint set -a 0x100004000 -c '*(int*)($rsp) == 0x1234' # 条件断点
|
||
(lldb) breakpoint command add 1
|
||
> frame variable
|
||
> expr $rax
|
||
> continue
|
||
> DONE
|
||
```
|
||
Python 自动化: lldb 内置 Python——`script import lldb`，或用 `lldb -s script.lldb` 批处理。
|
||
- 符号断点: `breakpoint set -n objc_msgSend`（按符号名，模块加载后自动生效）；正则: `-r '^check_'`
|
||
- 断点管理: `breakpoint list` / `breakpoint delete` / `breakpoint disable 1`
|
||
|
||
6. **单步/栈/线程**：
|
||
```
|
||
(lldb) thread step-over / step-into / step-out # 步过/步入/出函数（别名 next/step/finish）
|
||
(lldb) thread backtrace # 当前线程栈（别名 bt）
|
||
(lldb) thread list # 全部线程
|
||
(lldb) frame select 1 # 切栈帧
|
||
(lldb) frame variable # 当前帧局部变量
|
||
(lldb) register read # 全部寄存器
|
||
```
|
||
- 单步跳过 call 后的 `step-out` 配合返回寄存器看结果，是「验证函数返回」最快路径
|
||
|
||
7. **内存搜索与区域**：
|
||
```
|
||
(lldb) memory find 0x100000000 0x101000000 -e 0xdeadbeef # 区间内搜值/字节串
|
||
(lldb) memory find -s "password" 0x100000000 0x101000000 # 搜字符串
|
||
(lldb) memory region 0x100004000 # 该地址所属区域权限/边界
|
||
```
|
||
- 找密钥/常量: 先 `memory find` 定位，再断写入点；区域权限（RWX）异常段先看（壳/解密段）
|
||
|
||
8. **证据核对（收尾）**：断点命中记录、`frame variable`/`expr` 输出、`memory read` 转储（`memory read --force -o 文件` 导出）对照 [[re-triage]] 初勘值入档，结论写 [[re-analyze/analysis-contract]]
|
||
|
||
## 跨域联合
|
||
|
||
- [[re-binary-core]]：工作流第 6 步（macOS/iOS 调试器）
|
||
- [[re-mobile]]：iOS App/越狱动态调试的底层工具
|
||
- [[re-format-macho]]：先解析结构再调试（入口/LC_MAIN 与签名状态）
|
||
- attach 失败时按 [[re-analyze/platform-tips]] 转 [[re-memdump]]
|
||
|
||
## 常见坑与陷阱
|
||
|
||
- **SIP/TCC 拦截 attach**：非授权终端 attach 被拒（`permission denied` 或静默失败）——去系统设置开发者工具授权；关闭 SIP 只在极端情况
|
||
- **权限弹窗需手动确认**：TCC 每次对新的调试目标弹窗，脚本化 attach 会被卡住——预先授权目标程序
|
||
- **内核调试需额外配置**：macOS 内核调试要 KDK 匹配版本 + 开发内核启动，普通逆向用不上，别在用户态调试上浪费时间
|
||
- **签名状态**: 修改过的 Mach-O 未重签无法运行（见 [[re-format-macho]]）——先 `codesign -f -s -` 重签再调试
|
||
- **task_for_pid entitlement/SIP/Hardened Runtime 三层限制**：现象——Developer Tools 已授权仍 attach 失败或目标启动即崩溃；原因——除 TCC 外还有三层：调试器需 task_for_pid entitlement，目标启用 Hardened Runtime 时调试 API 受限，SIP 限制系统进程 attach；对策——逐层排查（`csrutil status`、检查目标签名与 entitlement），测试目标可先去签名/重签（[[re-format-macho]]）再调试，参考 [[re-analyze/platform-tips]] macOS 分支
|
||
- **ASLR 基址漂移**：每次启动 dylib 基址不同——脚本里硬编码地址会失效；用 `image list -o` 拿基址换算，断点尽量下符号名（`-n`/`-s`）
|
||
- **表达式求值有副作用**：`expr` 会真实执行代码（调用函数/改内存）——在 hook 点求值可能改变目标行为，验证场景用 `frame variable` 只读优先
|
||
- 版本差异、调试服务器与边界见 [[gotchas]]
|