iOS安全防护系列之ptrace反调试与汇编调用系统方法详解

关于系统调用

ptrace是一个系统调用。那系统调用是什么东东呢?它是一个系统提供的很强大的底层服务。用户层的框架是构建在system call之上的。

macOS Sierra大约提供了500个系统调用。通过以下命令来了解你系统上的系统调用的个数:

➜ ~ sudo dtrace -ln 'syscall:::entry' | wc -l

这个命令使用了另外一个更强大的工具叫DTrace,暂不详谈它。

一 lldb调试原理:debugserver

1、xcode的lldb之所以能调试app,是因为手机运行app,lldb会把调试指令发给手机的debugServer; debugServer是由Xcode第一次运行程序给安装到手机上。

Xcode上查看debugserver:

按住command键点击Xcode,找到xcode.app显示包内

容/Applications/Xcode.app/Contents/Developer/Platforms/iPhoneOS.platform/DeviceSupport/11.3 找到DeveloperDiskImage.dmg 里的usr -> bin -> debugserver

机的根目录下的 Developer -> usr -> bin 里能找到debugserver,越狱手机可以查看

2、越狱环境下,lldb连接手机的debugserver,然后就可以通过debugserver调试某个app

3、debugserver如何调试app?

debugserver通过ptrace函数调试app

ptrace是系统函数,此函数提供一个进程去监听和控制另一个进程,并且可以检测被控制进程的内存和寄存器里面的数据。ptrace可以用来实现断点调试和系统调用跟踪。

推荐书单:《程序员的自我修养》

二 利用ptrace防护debugserver

把ptrace.h导入工程

ptrace头文件不能直接导入app工程,可以新建命令行工程,然后#import <sys/ptrace.h>进入到ptrace.h,把内容全部复制到自己工程中新建的header文件MyPtrace.h中,那么自己的工程想调用ptrace就可以导入MyPtrace.h直接进行调用

ptrace防护

ptrace(<#int _request#>, <#pid_t _pid#>, <#caddr_t _addr#>, <#int _data#>)有四个参数

参数1:要做的事情

参数2:要控制的进程ID

参数3:地址

参数4:数据

参数3和参数4都由 参数1决定 参数1要传递的地址和数据

参数1的列表:

#define    PT_TRACE_ME    0    /* child declares it's being traced */

#define    PT_READ_I    1    /* read word in child's I space */

#define    PT_READ_D    2    /* read word in child's D space */

#define    PT_READ_U    3    /* read word in child's user structure */

#define    PT_WRITE_I    4    /* write word in child's I space */

#define    PT_WRITE_D    5    /* write word in child's D space */

#define    PT_WRITE_U    6    /* write word in child's user structure */

#define    PT_CONTINUE    7    /* continue the child */

#define    PT_KILL        8    /* kill the child process */

#define    PT_STEP        9    /* single step the child */

#define    PT_ATTACH    ePtAttachDeprecated    /* trace some running process */

#define    PT_DETACH    11    /* stop tracing a process */

#define    PT_SIGEXC    12    /* signals as exceptions for current_proc */

#define PT_THUPDATE    13    /* signal for thread# */

#define PT_ATTACHEXC    14    /* attach to running process with signal exception */

#define    PT_FORCEQUOTA    30    /* Enforce quota for root */

#define    PT_DENY_ATTACH    31

#define    PT_FIRSTMACH    32    /* for machine-specific requests */

要做到反调试,只需参数1为PT_DENY_ATTACH, 参数2为自己

#import "MyPtrace.h"

//app反调试防护

ptrace(PT_DENY_ATTACH, 0, 0, 0);

这样你的app就不可以用Xcode调试了

三 反ptrace ,让别人的ptrace失效

就是如果别人的的app进行了ptrace防护,那么你怎么让他的ptrace不起作用,进行调试他的app呢?

由于ptrace是系统函数,那么我们可以用fishhook来hook住ptrace函数,然后让他的app调用我们自己的ptrace函数

  • 注入动态库meryinDylib
  • 在meryinDylib中hook住ptrace函数

#import "fishhook.h"

#import "MyPtrace.h"

@implementation meryinDylib

int (*ptrace_p)(int _request, pid_t _pid, caddr_t _addr, int _data);

int myPtrace(int _request, pid_t _pid, caddr_t _addr, int _data){

if (_request != PT_DENY_ATTACH) {

return ptrace_p(_request,_pid,_addr,_data);

}

return 0;

}

+ (void)load

{

struct rebinding ptraceBind;

//函数的名称

ptraceBind.name = "ptrace";

//新的函数地址

ptraceBind.replacement = myPtrace;

//保存原始函数地址的变量的指针

ptraceBind.replaced = (void *)&ptrace_p;

//定义数组

struct rebinding rebs[] = {ptraceBind};

/*

arg1 : 存放rebinding结构体的数组

arg2 : 数组的长度

*/

rebind_symbols(rebs, 1);

}

四 针对三,要想别人hook自己的app的ptrace失效

思路:别人hook ptrace的时候,自己的ptrace已经调用

想要自己函数调用在最之前:自己写一个framework库

在库中写入ptrace(PT_DENY_ATTACH, 0, 0, 0);

库加载顺序:

自己写的库>别人注入的库

自己的库加载顺序:按照 Link Binary Libraries的顺序加载

 

五 针对四 进行反反调试

就算他的ptrace自己fishhook不到,可以通过修改macho的二进制让他的ptrace失效,然后进行调试.

1、用MonkeyDev打开,下符号断点trace,然后lldb调试bt,找到ptrace的库antiDebug以及其地址0x0000000102165d98,再image list找到antiDebug的地址0x0000000102160000,那么真实地址为0x5d98;

2、然后显示包内容,在Frameworks中,找到antiDebug库的macho,用hopper打开,找到0x5d98

 

3、更改二进制

可以直接在bl __NSlog之后直接函数结束,去除bl __ptrace,不调用ptrace函数

复制ptrace下一条指令0000000000005d94 bl imp___stubs__ptrace,点击bl __NSlog的下一行然后Alt+a,写入代码bl 0x 0000000000005d94

4、导出新的macho

File --> Produce New Executable

然后再运行就可以了

六 针对五 我不想暴露自己的ptrace等系统方法,不想被符号断点断住,可以采用汇编进行调用ptrace

//安全防护-反调试

asm(

"mov x0,#31\n"

"mov x1,#0\n"

"mov x2,#0\n"

"mov x3,#0\n"

"mov w16,#26\n" //26是ptrace

"svc #0x80" //0x80触发中断去找w16执行

);

去哪里找26就是ptrace?

在#import <sys/syscall.h>中有500多个系统函数,都有其编号

总结

以上是 iOS安全防护系列之ptrace反调试与汇编调用系统方法详解 的全部内容, 来源链接: utcz.com/z/328954.html

回到顶部