動態(tài)調(diào)試

一、什么是動態(tài)調(diào)試

• 1. 動態(tài)調(diào)試就是將程序運行起來，通過打斷點、打印等方式，查看參數(shù)、返回值、函數(shù)調(diào)用流程等信息
• 2. 之前我們說的靜態(tài)分析，就是程序不運行的時候，對程序的可執(zhí)行文件進行分析，分析頭文件、偽代碼之類的信息
• 3. 學(xué)會動態(tài)調(diào)試之后，我們就可以分析某個程序的整體調(diào)用流程了，例如：分析微信搶紅包的時候，就可以知道微信調(diào)用了哪些方法去搶紅包，以便我們hook

二、Xcode動態(tài)調(diào)試的原理

• 1. 其實Xcode自帶的LLDB工具，就是動態(tài)調(diào)試的工具，我們平常開發(fā)的時候也一直在用，在Xcode打斷點，程序就會暫停，輸入lldb指令，就會出現(xiàn)結(jié)果，那么Xcode動態(tài)調(diào)試的原理是怎樣的呢？
• 2. Xcode動態(tài)調(diào)試的原理是這樣的：我們用Xcode啟動程序的時候，就會在自動在手機上安裝一個debugserver程序，Xcode的LLDB工具會跟debugserver程序進行交互，將lldb指令傳輸給debugserver程序，debugserver程序又會將lldb指令傳輸給App，App執(zhí)行完之后，會將返回值傳輸給debugserver程序，debugserver程序又發(fā)給LLDB，在控制臺顯示出結(jié)果，如下圖所示：
     
     Xcode動態(tài)調(diào)試的原理.png
• 3. debugserver程序一開始是存放在Mac中的Xcode里面的，手機里是沒有的，只有當Xcode識別到手機設(shè)備時，才會自動把debugserver程序安裝到手機上。debugserver的具體路徑，如下所示

debugserver在Mac上的路徑是：
/Applications/Xcode.app/Contents/Developer/Platforms/iPhoneOS.platform/DeviceSupport/13.2/DeveloperDiskImage.dmg/usr/bin/debugserver

debugserver安裝到手機的路徑是：
/Developer/usr/bin/debugserver

• 4. 需要注意的是，Xcode動態(tài)調(diào)試，只能調(diào)試通過Xcode安裝的App，也就是說我們逆向別人App的時候，是無法用Xcode動態(tài)調(diào)試來調(diào)試的，那么如何才能調(diào)試任意App呢？

三、動態(tài)調(diào)試任意App的原理

• 1. 想要調(diào)試任意App，我們就需要用終端取代Xcode，終端里的LLDB工具與手機的debugserver程序交互，來傳輸lldb命令，如下所示：
     
     動態(tài)調(diào)試任意App原理.png
• 2. 我們知道Xcode安裝的debugserver只能與Xcode安裝的App進行交互，因為沙盒機制的原因，導(dǎo)致debugserver沒有權(quán)限與其他App產(chǎn)生交互，所以我們還需要給debugserver賦予相應(yīng)的權(quán)限，才能與任意App進行交互
• 3. 動態(tài)調(diào)試任意App只需要三步：將有權(quán)限的debugser安裝到手機、讓debugserver與App建立交互、讓debugserver與LLDB產(chǎn)生交互

四、動態(tài)調(diào)試任意App的第一步：將有權(quán)限的debugserver安裝到手機

這一步是一勞永逸的，安裝完后，以后只需要第二步和第三步，就可以啟動動態(tài)調(diào)試了

• 1. 在Mac的中找到與手機系統(tǒng)版本對應(yīng)的debugserver程序，Mac中的路徑如下：
     /Applications/Xcode.app/Contents/Developer/Platforms/iPhoneOS.platform/DeviceSupport/13.2/DeveloperDiskImage.dmg/usr/bin/debugserver
• 2. 使用ldid簽名工具給debugserver新增兩個權(quán)限：get-task-allow、 task_for_pid-allow，這兩個都是Bool值，設(shè)置為YES，新增權(quán)限流程如下：

  • (1). 通過ldid命令，導(dǎo)出debugserver現(xiàn)有的權(quán)限，命令是：
    $ ldid -e debugserver > debugserver.entitlements

  • (2). 編輯debugserver.entitlements文件，新增get-task-allow、 task_for_pid-allow，值設(shè)置為YES，如下圖所示：
    

    編輯debugserver.entitlements文件.png

  • (3). 通過ldid命令，對debugserver進行重新簽名，命令是：
    $ ldid -Sdebugserver.entitlements debugserver，注意S是大寫，并且與debugserver緊挨著。

• 3. 將已經(jīng)簽好權(quán)限的debugserver放到手機的/usr/bin里面，便于手機找到debugserver命令

五、動態(tài)調(diào)試任意App的第二步：讓debugserver與App建立交互

• 1. 遠程登錄到手機后 ，讓debugserver附加到某個App進程，命令如下：

打開命令行：sh usb.sh

新建命令行：sh login.sh，登錄到手機后

讓debugserver附加到某個App進程：$ debugserver 127.0.0.1:端口號 -a 進程名

例如讓debugserver附加到微信的進程：$ debugserver 127.0.0.1:10011 -a WeChat

• 2. 重點命令就這一句話：$ debugserver 127.0.0.1:端口號 -a 進程名，其中127.0.0.1:端口號代表使用iPhone的某個端口啟動debugserver服務(wù)，只要不是保留端口號就行

六、動態(tài)調(diào)試任意App的第三步：讓debugserver與LLDB建立交互

• 1. 在Mac上啟動LLDB服務(wù)，并且遠程連接到iPhone的debugserver服務(wù)，命令如下：

啟動LLDB
` $ lldb    `

連接到iPhone的debugserver服務(wù)
` (lldb) process connect connect://手機IP地址:debugserver服務(wù)的端口號  `

以微信為例，連接到iPhone的debugserver服務(wù)：
` (lldb) process connect connect://10.88.211.170:10011  `

• 2. 重點命令就這一句話process connect connect://手機IP地址:debugserver服務(wù)的端口號，如果輸入完這句命令后，出現(xiàn)以下提示，就說明已經(jīng)動態(tài)調(diào)試已經(jīng)就緒，可以執(zhí)行LLDB指令來調(diào)試了（注意此時會處在線程卡死狀態(tài)，需要執(zhí)行(lldb) c命令，讓程序先運行起來）

(lldb) process connect connect://localhost:10011
Process 1194 stopped
* thread #1, queue = 'com.apple.main-thread', stop reason = signal SIGSTOP
    frame #0: 0x000000018da64634 libsystem_kernel.dylib`mach_msg_trap + 8
libsystem_kernel.dylib`mach_msg_trap:
->  0x18da64634 <+8>: ret

libsystem_kernel.dylib`mach_msg_overwrite_trap:
    0x18da64638 <+0>: mov    x16, #-0x20
    0x18da6463c <+4>: svc    #0x80
    0x18da64640 <+8>: ret
Target 0: (WeChat) stopped.

七、使用USB方式動態(tài)調(diào)試任意App

• 1. 上面說的流程是通過用Wifi的方式傳輸LLDB命令的，傳輸速度較慢，所以推薦使用USB的方式建立交互，也就是：將Mac的10011端口與iPhone的10011端口建立映射，然后debugserver服務(wù)使用iPhone的10011端口，此時Mac的LLDB工具與Mac的10011端口傳輸數(shù)據(jù)就相當于與iPhone的10011端口傳輸數(shù)據(jù)，如下所示：

在Mac上輸入命令，讓10011端口與10011端口映射、10010與22端口映射
`python /Users/songpeng/Documents/python-client/tcprelay.py -t 22:10010 10011:10011`

在iPhone上執(zhí)行下面的命令，啟動debugserver服務(wù)，端口號為10011
`$ debugserver 127.0.0.1:10011 -a WeChat`

在Mac上執(zhí)行以下命令，讓LLDB與本地的10011傳輸數(shù)據(jù)，由于映射已經(jīng)建立，就相當于給iPhone的debugserver服務(wù)發(fā)送數(shù)據(jù)
`$ lldb  `
`(lldb) process connect connect://localhost:10011 `

• 2. 可以將以前寫的usb.sh文件的內(nèi)容改成python /Users/songpeng/Documents/python-client/tcprelay.py -t 22:10010 10011:10011，這樣即可以用USB的方式SSH登錄到手機，也可以以USB的方式讓LLDB與debugserver建立交互。以后使用起來就很方便了

- 3. 我們總結(jié)一下，使用USB方式動態(tài)調(diào)試任意App的全部流程，如下所示，以后忘記原理沒關(guān)系，只需要按順序輸入以下命令，就可以順利開啟動態(tài)調(diào)試

在Mac上打開命令行窗口，讓10011端口與10011端口映射、10010與22端口映射
`$ sh usb.sh`

在Mac上新建命令行窗口，然后SSH登陸到手機
`$ sh login.sh`

登錄到手機后，啟動手機的debugserver服務(wù)，讓其與App建立交互
`iPhone7ceshiji:~ root# debugserver 127.0.0.1:10011 -a WeChat`

在Mac上新建命令行窗口，進入lldb工具，并且讓LLDB與debugserver建立交互
`$ lldb`
`(lldb) process connect connect://localhost:10011`

使用LLDB命令c，先讓程序繼續(xù)運行
`(lldb) c`

• 4. 動態(tài)調(diào)試建立好之后，我們就可以使用LLDB指令，來正式開始調(diào)試了

八、LLDB指令

• 1. LLDB指令的格式是：
     <command> [<subcommand> [<subcommand>...]] <action> [-options [option- value]] [argument [argument...]]，其中，command代表命令，subcommand代表子命令，action代表命令的動作，- options 代表命令的選項，argument代表命令的參數(shù)，[]中的可以省略。
• 2. help命令，用于查看指令的用法，例如：help breakpoint、help breakpoint set
• 3. expression命令，執(zhí)行一個表達式，例如：expression self.view.backgroundColor = [UIColor redColor]，expression與print、p、call的效果一樣
• 4. thread backtrace命令，打印線程的堆棧信息，與bt命令效果一樣
• 5. thread return []命令，讓函數(shù)直接返回某個值，不會執(zhí)行斷點后面的代碼了，例如：thread return 3，返回了3
• 6. frame variable []命令，打印當前棧幀的變量
• 7. thread continue、continue、c命令，讓程序繼續(xù)運行
• 8. thread step-over、next、n命令，單步執(zhí)行，把子函數(shù)當做一個整體，不會進入子函數(shù)
• 9. thread step-in、step、s命令，單步執(zhí)行，遇到子函數(shù)會進入子函數(shù)內(nèi)部
• 10. breakpoint set命令，設(shè)置斷點，參數(shù)主要有以下幾種：
  • breakpoint set -a 函數(shù)地址
  • breakpoint set -n 函數(shù)名
  • breakpoint set -r 正則表達式
  • breakpoint set -s 動態(tài)庫 -n 函數(shù)名
• 11. breakpoint list命令，列出所有的斷點，每個斷點都有自己的編號
• 12. breakpoint delete 斷點編號命令，刪除某個斷點
• 13. breakpoint command add 斷點編號命令，給斷點預(yù)先設(shè)置需要執(zhí)行的命令，到觸發(fā)斷點時，就會按順序執(zhí)行
• 14. breakpoint command list 斷點編號命令，查看某個斷點的預(yù)設(shè)命令
• 15. watchpoint內(nèi)存斷點，就是當內(nèi)存數(shù)據(jù)改變時，觸發(fā)此斷點，以便確認是誰修改了內(nèi)存，子命令主要有以下幾種：

  • watchpoint set variable 變量，例如：watchpoint set variable self->_age，當age變量改變時，斷點就會觸發(fā)，以便找到修改age內(nèi)存的代碼

  • watchpoint set expression 地址，例如：watchpoint set expression &self->_age

  • watchpoint list，列出所有的內(nèi)存斷點

  • watchpoint delete 斷點編號，刪除此內(nèi)存斷點

  • watchpoint command add 斷點編號，給此內(nèi)存斷點，增加預(yù)設(shè)命令

• 16. image lookup，尋找模塊信息，如果你想找某個類型、某個方法、某個地址在模塊中的什么位置，就可以用這個命令，主要參數(shù)如下：
  • image lookup -t 類型，查找某個類型的信息，例如image lookup -t NSInterger
  • image lookup -a 地址，看看某個內(nèi)存地址在模塊中的位置
  • image lookup -n 符號或者函數(shù)名，查找某個符號或者函數(shù)的位置
• 17. image list，列出所加載的模塊信息
• 18. 一些小技巧：敲Enter會自動執(zhí)行上次的命令、絕大部分命令可以使用縮寫