使用Python脚本强化LLDB调试器

LLDB是Xcode自带的调试器，作为一个iOS应用开发程序员，平时我在开发应用时会使用LLDB来调试代码。在逆向应用时，也会用到LLDB来跟踪应用的执行过程。

LLDB还内置了一个Python解析器，使用Python脚本可以方便LLDB的调试，比如自动化执行一些命令，或者自动化处理数据之类的，具体说明可以参考官方的文档：LLDB Python Reference。

以下就以一个具体的例子来演示一个Python脚本的编写过程：

一、获取方法的偏移地址

运行系统自带的计算器Calculator.app：

可以看到计算器的菜单里有一个“关于计算器”的选项：

如果我们要在点击“关于计算器”事件断下来的话，就要给这个方法设置一个断点。

先找到计算器的可执行文件的路径，路径为：/Applications/Calculator.app/Contents/MacOS/Calculator。
打开Hopper Disassembler反汇编调试器，将可执行文件拖进去，等待Hopper分析完成。

在左侧的搜索框输入”showabout”，会搜索到一个结果：

点击这个结果，会跳转到该方法的汇编代码处：

                     -[CalculatorController showAbout:]:
00000001000093dd         push       rbp                                         ; Objective C Implementation defined at 0x1000188d0 (instance)
00000001000093de         mov        rbp, rsp
00000001000093e1         mov        rdi, qword [ds:objc_cls_ref_NSDictionary]   ; objc_cls_ref_NSDictionary, argument "instance" for method imp___got__objc_msgSend
00000001000093e8         mov        rsi, qword [ds:0x10001b6f0]                 ; @selector(dictionaryWithObject:forKey:), argument "selector" for method imp___got__objc_msgSend
00000001000093ef         lea        rdx, qword [ds:cfstring_2000]               ; @"2000"
00000001000093f6         lea        rcx, qword [ds:cfstring_CopyrightStartYear] ; @"CopyrightStartYear"
00000001000093fd         call       qword [ds:imp___got__objc_msgSend]
0000000100009403         mov        rdi, rax
0000000100009406         pop        rbp
0000000100009407         jmp        imp___stubs__NSShowSystemInfoPanel
                        ; endp

由汇编代码可知[CalculatorController showAbout:]方法在文件中的偏移地址为0x00000001000093dd。

二、使用LLDB调试器设置断点

接下来运行终端，执行以下命令，让LLDB调试器依附计算器的进程：

Jobs: ~$ ps aux | grep Calculator
Jobs            79888   0.0  0.1  2781792  11620   ??  S     6:21下午   0:01.07 /Applications/Calculator.app/Contents/MacOS/Calculator
Jobs            80204   0.0  0.0  2432772    568 s002  R+    6:26下午   0:00.00 grep Calculator
Jobs: ~$ lldb -p 79888
(lldb) process attach --pid 79888
Process 79888 stopped
* thread #1: tid = 0x6030af, 0x00007fff912d34de libsystem_kernel.dylib`mach_msg_trap + 10, queue = 'com.apple.main-thread', stop reason = signal SIGSTOP
    frame #0: 0x00007fff912d34de libsystem_kernel.dylib`mach_msg_trap + 10
libsystem_kernel.dylib`mach_msg_trap:
->  0x7fff912d34de <+10>: retq
    0x7fff912d34df <+11>: nop

libsystem_kernel.dylib`mach_msg_overwrite_trap:
    0x7fff912d34e0 <+0>:  movq   %rcx, %r10
    0x7fff912d34e3 <+3>:  movl   $0x1000020, %eax

Executable module set to "/Applications/Calculator.app/Contents/MacOS/Calculator".
Architecture set to: x86_64h-apple-macosx.
(lldb) continue
Process 79888 resuming
(lldb)

接着执行以下命令获取应用的ASLR偏移地址：

(lldb) image list -o
[  0] 0x000000000cafa000
[  1] 0x00007fff93d51000
[  2] 0x000000010cb1e000
......
(lldb)

第一行数据的16进制地址0x000000000cafa000就是应用的ASLR偏移地址，之前我们已经找到了[CalculatorController showAbout:]方法的偏移地址是0x00000001000093dd，那么该方法在内存中的地址就是0x000000000cafa000 + 0x00000001000093dd。

所以我们可以执行下面的命令来给这个方法设置断点，注意加号两边不要有空格：

(lldb) br set -a "0x000000000cafa000+0x00000001000093dd"
Breakpoint 1: where = Calculator`___lldb_unnamed_function161$$Calculator, address = 0x000000010cb033dd
(lldb)

这时点击菜单的“关于计算器”选项，程序就会断下来：

Process 79888 stopped
* thread #1: tid = 0x6709de, 0x000000010cb033dd Calculator`___lldb_unnamed_function161$$Calculator, queue = 'com.apple.main-thread', stop reason = breakpoint 2.1
    frame #0: 0x000000010cb033dd Calculator`___lldb_unnamed_function161$$Calculator
Calculator`___lldb_unnamed_function161$$Calculator:
->  0x10cb033dd <+0>:  pushq  %rbp
    0x10cb033de <+1>:  movq   %rsp, %rbp
    0x10cb033e1 <+4>:  movq   0x12b98(%rip), %rdi       ; (void *)0x00007fff78684488: NSDictionary
    0x10cb033e8 <+11>: movq   0x12301(%rip), %rsi       ; "dictionaryWithObject:forKey:"
(lldb)

三、编写Python脚本

那么问题来了，我们每次调试应用都要先手动获取ASLR偏移地址，如果要给多个地址打断点的话，就要写很多遍”ASLR偏移地址+方法偏移地址”，操作比较繁琐。如果这些重复性的操作可以自动完成的话，在平时的使用过程中应该能节省不少时间。

用Python就可以很方便地实现这个功能，接下来我们就来写一个简单的脚本，以简化设置断点的操作。脚本的主要功能是自动获取应用的ASLR地址，用户设置断点时只需输入方法在文件中的的偏移地址，脚本会自动把ASLR偏移地址和方法偏移地址相加，再设置断点。

新建一个Python文件，保存至~/sbr.py，代码如下：

#!/usr/bin/python
#coding:utf-8

import lldb
import commands
import optparse
import shlex
import re

# 获取ASLR偏移地址
def get_ASLR():
    # 获取'image list -o'命令的返回结果
    interpreter = lldb.debugger.GetCommandInterpreter()
    returnObject = lldb.SBCommandReturnObject()
    interpreter.HandleCommand('image list -o', returnObject)
    output = returnObject.GetOutput();
    # 正则匹配出第一个0x开头的16进制地址
    match = re.match(r'.+(0x[0-9a-fA-F]+)', output)
    if match:
        return match.group(1)
    else:
        return None

# Super breakpoint
def sbr(debugger, command, result, internal_dict):

    #用户是否输入了地址参数
    if not command:
        print >>result, 'Please input the address!'
        return

    ASLR = get_ASLR()
    if ASLR:
        #如果找到了ASLR偏移，就设置断点
        debugger.HandleCommand('br set -a "%s+%s"' % (ASLR, command))
    else:
        print >>result, 'ASLR not found!'

# And the initialization code to add your commands
def __lldb_init_module(debugger, internal_dict):
    # 'command script add sbr' : 给lldb增加一个'sbr'命令
    # '-f sbr.sbr' : 该命令调用了sbr文件的sbr函数
    debugger.HandleCommand('command script add sbr -f sbr.sbr')
    print 'The "sbr" python command has been installed and is ready for use.'

然后在LLDB中执行下面的语句就可以把脚本导入到LLDB：

(lldb) command script import ~/sbr.py
The "sbr" python command has been installed and is ready for use.
(lldb)

输出结果表示名为sbr的Python命令已经装载好并可以使用了。
sbr是Super breakpoint的意思，只需接收一个方法偏移地址作为参数。
接下来验证一下效果，先清除断点列表，再用sbr命令来设置断点。

(lldb) br delete
About to delete all breakpoints, do you want to do that?: [Y/n] y
All breakpoints removed. (1 breakpoint)
(lldb) sbr 0x00000001000093dd
Breakpoint 2: where = Calculator`___lldb_unnamed_function161$$Calculator, address = 0x000000010cb033dd
(lldb)

这时点击菜单的“关于计算器”选项，方法也成功断下来了。

四、启动LLDB时自动加载Python脚本

对于经常要使用到的脚本，可以在LLDB的初始化文件里添加命令加载脚本，这样LLDB启动后就能使用自定义的命令了。
修改~/.lldbinit文件，在文件里加入一行：

command script import ~/sbr.py

重新进入LLDB，可以看到脚本已经自动加载了：

Jobs: ~$ lldb
The "sbr" python command has been installed and is ready for use.
(lldb) command source -s 1 '/Users/Jobs/./.lldbinit'
The "sbr" python command has been installed and is ready for use.
(lldb)