iOS 逆向開發(fā) 文章匯總

目錄

• 一、函數(shù)的參數(shù)和返回值
• 二、函數(shù)的局部變量
• 三、狀態(tài)寄存器

一、函數(shù)的參數(shù)和返回值

ARM64下,函數(shù)的參數(shù)是存放在X0到X7(W0到W7)這8個(gè)寄存器里面的。如果超過8個(gè)參數(shù)，就會(huì)入棧，利用內(nèi)存?zhèn)鬟f參數(shù)。
函數(shù)的返回值是放在X0(W0)寄存器里面的，如果返回值大于8個(gè)字節(jié)（指針大小=8字節(jié)），就會(huì)利用內(nèi)存?zhèn)鬟f返回值。

• 因此C語(yǔ)言函數(shù)建議不超過8個(gè)參數(shù)，OC函數(shù)建議不超過6個(gè)參數(shù)（OC函數(shù)含兩個(gè)默認(rèn)參數(shù)：self、cmd）

查看系統(tǒng)含參函數(shù)匯編是如何實(shí)現(xiàn)的

@implementation ViewController

int sum(int a, int b) {
    return a + b;
}

- (void)viewDidLoad {
    [super viewDidLoad];
    
    sum(10, 20);
}

@end

由于這是未經(jīng)過LLDB優(yōu)化的匯編，所以有冗余的匯編代碼。由于sum是葉子函數(shù)(最后一個(gè)ret)因此不需要lr入棧保存
因此可自己實(shí)現(xiàn)相同功能的sum函數(shù)：

_sum:
    add x0,x0,x1
    ret

函數(shù)參數(shù)個(gè)數(shù)超過8個(gè)的情況：

@implementation ViewController

int test(int a,int b,int c,int d,int e,int f,int g,int h,int i) {
    return a + b + c + d + e + f + g + h + I;
}

- (void)viewDidLoad {
    [super viewDidLoad];

    test(1, 2, 3, 4, 5, 6, 7, 8, 9);
}

@end

函數(shù)返回值大于8個(gè)字節(jié)的情況：

@implementation ViewController

struct str {
    int a;
    int b;
    int c;
    int d;
    int f;
    int g;
};

struct str getStr(int a,int b,int c,int d,int f,int g) {
//    //24字節(jié)開辟堆空間!
//   struct str * str1 = malloc(24);正常情況是返回結(jié)構(gòu)體指針
    struct str str1;
    str1.a = a;
    str1.b = b;
    str1.c = c;
    str1.d = d;
    str1.f = f;
    str1.g = g;
    return str1;
}

- (void)viewDidLoad {
    [super viewDidLoad];

    //你的局部變量!!! 我的棧區(qū)域!! A  --> B  在B調(diào)用完畢之后,B的參數(shù)釋放了嗎???
    struct str str2 = getStr(1, 2, 3, 4, 5, 6);
}

stur作用和str一樣，只是stur用來(lái)處理4個(gè)字節(jié)的數(shù)據(jù)

面試題：函數(shù)A調(diào)用函數(shù)B，在B調(diào)用完畢之后,B的參數(shù)都釋放了嗎???

不一定。如果參數(shù)超過8個(gè)，那么多余的參數(shù)是存在函數(shù)A的棧中。在B調(diào)用完畢之后,B的參數(shù)釋放不完。

二、函數(shù)的局部變量

函數(shù)的局部變量放在棧里面!

@implementation ViewController

int funcB(int a,int b) {
    int c = 6;
    return a+b+c;
}

- (void)viewDidLoad {
    [super viewDidLoad];

    funcB(10, 20);
}

@end

函數(shù)有局部變量和嵌套調(diào)用的情況：

@implementation ViewController

int funcB(int a,int b) {
    int c = 6;
    int d = funcSum(a, b, c);
    int e = funcSum(a, b, c);
    return d + e;
}

int funcSum(int a,int b,int c) {
    int d = a + b + c;
    printf("%d",d);
    return d;
}

- (void)viewDidLoad {
    [super viewDidLoad];

    funcB(10, 20);
}

@end

三、狀態(tài)寄存器

???CPU內(nèi)部的寄存器中,有一種特殊的寄存器(對(duì)于不同的處理器,個(gè)數(shù)和結(jié)構(gòu)都可能不同).這種寄存器在ARM中,被稱為狀態(tài)寄存器就是CPSR(current program status register)寄存器
CPSR和其他寄存器不一樣,其他寄存器是用來(lái)存放數(shù)據(jù)的,都是整個(gè)寄存器具有一個(gè)含義.而CPSR寄存器是按位起作用的,也就是說,它的每一位都有專門的含義,記錄特定的信息.

注:CPSR寄存器是32位的

• CPSR的低8位（包括I、F、T和M[4：0]）稱為控制位，程序無(wú)法修改,除非CPU運(yùn)行于特權(quán)模式下,程序才能修改控制位!
• N、Z、C、V均為條件碼標(biāo)志位。它們的內(nèi)容可被算術(shù)或邏輯運(yùn)算的結(jié)果所改變，并且可以決定某條指令是否被執(zhí)行!意義重大!

N（Negative）標(biāo)志

CPSR的第31位是 N，符號(hào)標(biāo)志位。它記錄相關(guān)指令執(zhí)行后,其結(jié)果是否為負(fù).如果為負(fù) N = 1,如果是非負(fù)數(shù) N = 0.

???注意,在ARM64的指令集中,有的指令的執(zhí)行時(shí)影響狀態(tài)寄存器的,比如add\sub\or等,他們大都是運(yùn)算指令(進(jìn)行邏輯或算數(shù)運(yùn)算)；

Z(Zero)標(biāo)志

CPSR的第30位是Z，0標(biāo)志位。它記錄相關(guān)指令執(zhí)行后,其結(jié)果是否為0.如果結(jié)果為0：Z = 1.如果結(jié)果不為0：Z = 0.

???對(duì)于Z的值,我們可以這樣來(lái)看,Z標(biāo)記相關(guān)指令的計(jì)算結(jié)果是否為0,如果為0,則Z要記錄下"是0"這樣的肯定信息.在計(jì)算機(jī)中1表示邏輯真,表示肯定.所以當(dāng)結(jié)果為0的時(shí)候Z = 1,表示"結(jié)果是0".如果結(jié)果不為0,則Z要記錄下"不是0"這樣的否定信息.在計(jì)算機(jī)中0表示邏輯假,表示否定,所以當(dāng)結(jié)果不為0的時(shí)候Z = 0,表示"結(jié)果不為0"。

C(Carry)標(biāo)志

CPSR的第29位是C，進(jìn)位標(biāo)志位。一般情況下進(jìn)行無(wú)符號(hào)數(shù)的運(yùn)算。
加法運(yùn)算：當(dāng)運(yùn)算結(jié)果產(chǎn)生了進(jìn)位時(shí)（無(wú)符號(hào)數(shù)溢出），C=1，否則C=0。
減法運(yùn)算（包括CMP）：當(dāng)運(yùn)算時(shí)產(chǎn)生了借位時(shí)（無(wú)符號(hào)數(shù)溢出），C=0，否則C=1。

???對(duì)于位數(shù)為N的無(wú)符號(hào)數(shù)來(lái)說，其對(duì)應(yīng)的二進(jìn)制信息的最高位，即第N - 1位，就是它的最高有效位，而假想存在的第N位，就是相對(duì)于最高有效位的更高位。如下圖所示：

進(jìn)位

???我們知道，當(dāng)兩個(gè)數(shù)據(jù)相加的時(shí)候，有可能產(chǎn)生從最高有效位想更高位的進(jìn)位。比如兩個(gè)32位數(shù)據(jù)：0xaaaaaaaa + 0xaaaaaaaa,將產(chǎn)生進(jìn)位。由于這個(gè)進(jìn)位值在32位中無(wú)法保存，我們就只是簡(jiǎn)單的說這個(gè)進(jìn)位值丟失了。其實(shí)CPU在運(yùn)算的時(shí)候，并不丟棄這個(gè)進(jìn)位制，而是記錄在一個(gè)特殊的寄存器的某一位上。ARM下就用C位來(lái)記錄這個(gè)進(jìn)位值。比如，下面的指令

mov w0,#0xaaaaaaaa；0xa 的二進(jìn)制是 1010
adds w0,w0,w0； 執(zhí)行后 相當(dāng)于 1010 << 1 進(jìn)位1（無(wú)符號(hào)溢出） 所以C標(biāo)記 為 1
adds w0,w0,w0； 執(zhí)行后 相當(dāng)于 0101 << 1 進(jìn)位0（無(wú)符號(hào)沒溢出） 所以C標(biāo)記 為 0
adds w0,w0,w0； 重復(fù)上面操作
adds w0,w0,w0

借位

???當(dāng)兩個(gè)數(shù)據(jù)做減法的時(shí)候，有可能向更高位借位。再比如，兩個(gè)32位數(shù)據(jù)：0x00000000 - 0x000000ff,將產(chǎn)生借位，借位后，相當(dāng)于計(jì)算0x100000000 - 0x000000ff。得到0xffffff01 這個(gè)值。由于借了一位，所以C位 用來(lái)標(biāo)記借位。C = 0.比如下面指令：

mov w0,#0x0
subs w0,w0,#0xff ;
subs w0,w0,#0xff
subs w0,w0,#0xff

adds、subs會(huì)改變標(biāo)志位， add、sub不會(huì)改變標(biāo)志位。都會(huì)改變操作的寄存器的值

V(Overflow)溢出標(biāo)志

CPSR的第28位是V，溢出標(biāo)志位。在進(jìn)行有符號(hào)數(shù)運(yùn)算的時(shí)候，如果超過了機(jī)器所能標(biāo)識(shí)的范圍，稱為溢出。

• 正數(shù) + 正數(shù) 為負(fù)數(shù) 溢出
• 負(fù)數(shù) + 負(fù)數(shù) 為正數(shù) 溢出
• 正數(shù) + 負(fù)數(shù) 不可能溢出（同樣寬度的數(shù)據(jù)）

CPU在進(jìn)行計(jì)算時(shí)并不知道參與計(jì)算的數(shù)是有符號(hào)數(shù)還是無(wú)符號(hào)數(shù)，C標(biāo)志位會(huì)將參與計(jì)算的數(shù)據(jù)當(dāng)做無(wú)符號(hào)數(shù)進(jìn)行相應(yīng)標(biāo)記，V標(biāo)志位會(huì)將參與計(jì)算的數(shù)據(jù)當(dāng)做有符號(hào)數(shù)進(jìn)行相應(yīng)標(biāo)記。在上層代碼讀取計(jì)算結(jié)果時(shí)通過自己是有無(wú)符號(hào)數(shù)讀取C或V標(biāo)記判斷計(jì)算結(jié)果是否溢出。

條件代碼：

@implementation ViewController

void func() {
    int a = 1;
    int b = 2;

    if (a == b) {
        printf("a == b\n");
    } else {
        printf("error\n");
    }
}

- (void)viewDidLoad {
    [super viewDidLoad];

    func();
}

@end

將狀態(tài)寄存器(cpsr)的值由0x80000000改為0x40000000就能將cpsr的Z標(biāo)志改為1，這樣就能讓條件跳轉(zhuǎn)指令認(rèn)為a-b=0從而a == b。（判斷指令==底層就是減法sub指令）

.m文件中編寫匯編代碼：

@implementation ViewController

void func() {
//    int a = 1;
//    int b = 2;
//
//    if (a == b) {
//        printf("a == b\n");
//    } else {
//        printf("error\n");
//    }
    asm(
        "mov w0,#0xaaaaaaaa\n"
        "adds w0,w0,w0\n"
        "adds w0,w0,w0\n"
        "adds w0,w0,w0\n"
        "adds w0,w0,w0\n"
        );
    
}

@end