iOS逆向工程之Hopper中的ARM指令

2019-12-04来源: eefocus关键字:iOS  逆向工程  Hopper  ARM指令

一、Hopper中的ARM指令

ARM处理器就不多说了,ARM处理器因为低功耗等原因,所以大部分移动设备上用的基本上都是ARM架构的处理器。当然作为移动设备的Android手机,iPhone也是用的ARM架构的处理器。如果你想对iOS系统以及你的应用进一步的了解,那么对ARM指令集的了解是必不可少的,ARM指令集应该也算得上是iOS逆向工程的基础了。


当你使用Hopper进行反编译时,里边全是ARM的指令,那是看的一个爽呢。下面就是使用Hopper打开MobileNote.app的一个Hopper的界面。从主窗口中可以看到全是ARM的指令呢,如果你对ARM指令不了解,那么如何进行分析呢,对吧。所以对ARM指令的了解,是iOS逆向工程的基础呢。今天这篇博客就总结一下ARM指令集的基础指令。

  

Hopper的功能是非常强大的,在Hopper中你可以对ARM指令进行修改,并且生成一个新的可执行文件。当然Hopper强大的功能可以帮助你更好的理解ARM汇编语言的业务逻辑,Hopper会根据ARM汇编生成相关的逻辑图,如下所示。从下方的逻辑图中你就能清楚的看到相关ARM汇编的指令逻辑。红线表明条件不成立时的跳转,蓝线则表明条件成立时的跳转。

  

Hopper的功能强大到可以将ARM汇编生成相应的伪代码,如果你看ARM指令不直观的话,那么伪代码对你来说会更好一些。下方就是Hopper根据ARM指令生成的伪代码,如下所示。

  

貌似有点跑偏了,今天的主题是ARM指令集,Hopper的东西就不做过多赘述了。

 

二、ARM指令集综述

ARM指令主要是对寄存器,栈、内存的操作。寄存器位于CPU中,个数少速度快,ARM指令集中大部分指令都是对寄存器操作,但有些指令是对栈和内存的操作。下方会对操作栈、寄存器以及内存的指令进行介绍。

 

1.栈操作---- push 与pop

先简单的聊一下栈的概念,“栈”说白了就是数据结构的一种,栈的数据结构具有LIFO(last in first out) ---- 后进先出的特点。栈在ARM中所指的其实是一块具有栈数据结构特点内存区。栈中主要用来暂存寄存器中的值得,比如R0寄存器正在使呢,可是现在有一个优先级比较高的函数要使用R0, 那么就先把R0的值Push到栈中暂存,然后等R0被优先级更高的函数使用完毕后在从栈中Pop出之前的值。在函数调用时一般会对栈进行操作。


对栈操作的命令就是push和pop了,一般会成对出现,在函数开始时将该函数执行时要使用的寄存器中的值push入栈,然后在函数结束时将之前push到栈中的值在pop到相应的寄存器中。


下方就是push和pop的用法的一个实例。在下方函数开始执行前,将该函数要使用的寄存器r4, r5, r7, lr使用push进行入栈操作,lr是该函数执行后要返回的地址。在函数执行完毕后,使用pop命令将函数执行前入栈的值在pop到相应的寄存器中。有一点需要注意的是将lr寄存器中的值在函数结束后pop到pc (Program Counter)寄存器中,pc寄存器中存储的是将要执行的命令的地址。这样一来,函数执行后就会返回到之前执行的地址上继续执行。

  

 

2. pc寄存器中的中的标志位

此处我们以32位指令为例,pc寄存器中的后四位是标志位,第28 - 31位分别对应着V (oVerflow),C (Carry),Z (Zero),N (Negative)。下面分别来介绍一下这四种符号所表示的状态。

  • N (Negative): 如果结果是负数则置位。

  • Z (Zero): 如果结果是零则置位。

  • C (Carry): 如果有进位则置位。

  • V (Overflow): 在发生溢出的时候置位。

 

3. 命令操作符

下方是ARM指令集中常用的算术操作:

(1)加法操作

  • ADD R0, R1, R2       ; R0 = R1 + R2

    • 上面的命令就比较简单,就是讲两个数值进行相加。

  • ADC R0, R1, R2       ; R0 = R1 + R2 + C (Carry)

    • 带进位的加法,ADC将把两个操作数加起来,并把结果放置到目的寄存器中。ADC使用了C--进位标志,这样就可以做比32位大的加法了。下方就是128位的数字进行加法操作的汇编代码。

    • 我们现在要对一个128位的数字进行加法操作,因为我们使用的是32位的寄存器,所以要存储一个128位的数字,我们需要4个(128 / 32 = 4)寄存器。所以我们假设R0,R1,R2,R3寄存器中分别由低到高存储着第一个数字,而R4, R5, R6, R7存储着第二个数字。下方就是两个128数字相加操作的ARM汇编指令。我们将结果存储在R8, R9, R10, R11这四个寄存器中。首先我们执行的是将两个数的最低位相加并设置C标志位(ADDS R8, R0, R4),然后在进行下一位的操作,对R1和R5中的值进行相加,在相加后再加上上次操作的进位,然后再设置标志位,以此类推。这样我们最终的值就存储在了R8-R11这四个寄存器中。

     

(2)减法操作

  • SUB R0, R1, R2       ; R0 = R1 - R2

    • 这个命名比较简单,就是使用R1寄存器中的值减去R2寄存器中的值,然后存储到R0中。

  • SBC R0, R1, R2       ; R0 = R1 - R2 - !C

    • 带借位的减法,假如我们当前的寄存器是32Bit, 如果两个64bit的数值进行减法操作就要使用到SBC借位操作。因为当两个数值在进行减法操作时,如果需要借位时就会把C标志位进行清零操作,所以在进行SBC操作时需要将C标志位进行取反操作。下面我们一128位数值相减为例。该实例与上述的ADC命令类似,在此就不做过多赘述了。

     

  • RSB R0, R1, R2       ; R0 = R2 - R1

    • 反向减法

  • RSC R0, R1, R2       ; R0 = R2 - R1 - !C

    • 带借位的反向减法,上面这两个命令与SUB和SBC命令差不多,都是进行减法操作的,不过操作数的计算顺序不同。

(3)、乘法指令

在ARM指令集中,乘法指令有两种第一个是MUL, 第二个是带累加的乘法MLA。当然,这两个指令使用起来都不复杂。

  • MUL: 乘法指令 MUL{条件}{S} R0, R1, R2     ;R0 = R1 * R2

  • MLA: 乘法累加指令 MLA{条件}{S} R0, R1, R2, R3   ;R0 = R1 * R2 + R3

 

(4)、逻辑操作

逻辑操作比较好理解一些,与我们编程中使用的逻辑操作大同小异,无非是一些与、或、非、异或这些操作。

  • AND R0, R1, R2       ; R0 = R1 & R2 

    • 与操作, 1 & 1 = 1, 1 & 0 = 1, 0 & 1 = 1,0 & 0 = 0;

  • ORR R0, R1, R2       ; R0 = R1 | R2

    • 或操作, 1 | 1 = 1, 1 | 0 = 1, 0 | 1 = 1, 0 | 0 = 0;

  • EOR R0, R1, R2       ; R0 = R1 ^ R2

    • 异或,1 ^ 1 =  1,  1 ^ 0 = 0,  0 ^ 1 = 0, 0 ^ 0 = 1;

  • BIC R0, R1, R2         ; R0 = R1 &~ R2

    • 位清除指令,现将R2进行取反,然后再与R1进行与操作。R1 & (~R2)

    • 将R0的后四位清零:BIC R0, R0,#0x0F

  • MOV R0, R1      ;R0 = R1

    • 赋值操作,将R1的值赋给R0

  • MVN R0, R1      ;R0 = ~R1

    • 按位取反操作,将R1的每一位进行取反操作,然后赋值给R0

 

4、寄存器的装载和存储

有时我们需要将内存中的数据装载到寄存器中进行操作,或者将寄存器中运算后的数据存储到内存中,此时我们就会用到寄存器的装载和存储的相关命令。下方就一一的总结了这些命令。


(1)、传送单一数据

LDR{条件} Rd, <地址>   ;将地址中的数据加载到Rd寄存器中

STR{条件} Rd, <地址>   ;将寄存器Rd中的数值存储到<地址>中的内存中

LDR{条件}B  Rd, <地址>   ;将内存地址所对应值得低8位加载到Rd的寄存器中。

STR{条件}B  Rd, <地址>   ;将寄存器Rd的后8为存的到内存地址中。

  • LDR (Load Register) : 将数据从内存中取出,加载到寄存器。

    • LDR Rt, [Rn], #offset   ;Rt = *Rn; Rn = Rn + offset

    • LDR Rt, [Rn, #offset]!  ; Rt = *(Rn + offset); Rn = Rn + offset

 

  • STR (Store Register): 将寄存器中的数据,存储到内存。

    • STR Rt, [Rn], #offset   ;*Rn = Rt; Rn = Rn + offset

    • STR Rt, [Rn, #offset]!  ;*(Rn + offset) = Rt; Rn = Rn + offset(地址回写)

 

(2)、一次传送两个数据

  • LDRD (Load Register Double): 一次填充两个寄存器

    • LDRD R4, R5, [R6, #offset]    ;R4 = *(R6 + offset); R5 = *(R6 + offset + 4)

 

  • STRD (Store Register Double):一次存储两个值到内存

    • STRD R4, R5, [R6, #offset]    ;*(R6 + offset) = R4; *(R6 + offset + 4) = R5

 

(3)、块数据存取 

  • LDM (Load Mutiple): 将一块数据从寄存器中加载到内存中(reg list)。

  • STM (Store Multiple): 将块数据从内存中加载到寄存器。

  • LDM与STM块内存操作都有一个后缀,下方就是这四种条件,我们假设下方R0寄存器中存储的值是0(R0 = 6)

    • 如:LDMDB R0, {R1 - R3}    ;R1 = 5, R2 = 4, R3 = 3

    • 如: LDMDA R0, {R1 - R3}    ;R1 = 6, R2 = 5, R3 = 4

    • 如:LDMIB R0, {R1 - R3}    ;R1 = 7, R2 = 8, R3 = 9

    • 如:LDMIA R0, {R1 - R3}    ;R1 = 6, R2 = 7, R3 = 8

    • IA (Increment After): 传输后再增加值,

    • IB (Increment Befor): 传输前增加值

    • DA (Decrement After):传输后减少值

    • DB (Decrement Before):传输前减少值

 

(4)、单一数据交换:SWP

SWP命令用来交换寄存器与内存直接的值,下方是SWP的指令格式:

SWP{条件}{B} Rd, Rm, [Rn]

上述命令表示将Rn中内存地址所指向内存中的数据加载到Rd中,然后将寄存器Rm中的值存储到该内存地址指向的区域中。如果Rd = Rm, 那么Rn指向的内存中的值就会与Rd进行交换。如果加上条件后缀的话,就说明在满足该条件时进行操作,后缀B则是操作低8位。

 

5、比较、

[1] [2]
关键字:iOS  逆向工程  Hopper  ARM指令 编辑:什么鱼 引用地址:http://news.eeworld.com.cn/mcu/ic481971.html 本网站转载的所有的文章、图片、音频视频文件等资料的版权归版权所有人所有,本站采用的非本站原创文章及图片等内容无法一一联系确认版权者。如果本网所选内容的文章作者及编辑认为其作品不宜公开自由传播,或不应无偿使用,请及时通过电子邮件或电话通知我们,以迅速采取适当措施,避免给双方造成不必要的经济损失。

上一篇:ARM的栈指令
下一篇:浅析ARM汇编语言子例程设计方法

关注eeworld公众号 快捷获取更多信息
关注eeworld公众号
快捷获取更多信息
关注eeworld服务号 享受更多官方福利
关注eeworld服务号
享受更多官方福利

推荐阅读

iOS 逆向之ARM汇编
最近对iOS逆向工程很感兴趣。目前iOS逆向的书籍有: 《Hacking and Securing IOS Applications》, 《iOS Hacker's Handbook》中文书籍有《iOS应用逆向工程:分析与实战》中文博客有: 程序员念茜的《iOS安全攻防系列》 英文博客有:Prateek Gianchandani的iOS 安全系列博客这些资料中都涉及到有ARM汇编,但都只是很泛地用到,并没有对iOS上的ARM汇编进行比较详细的讲解。因此,经过一系列的学习对iOS下的ARM有了一定的理解。在此打算用几篇博文记录下来,备忘之,分享之, 限于本人水平有限,如有错误请不吝赐教。 我们先讲一些
发表于 2019-12-03
iOS 逆向之ARM汇编
iOS 13问题太多了 苹果要改进开发流程
新浪数码讯 11月22日上午消息,外媒彭博社报道称,苹果公司正在改变其开发操作系统工作流程,以防止iOS 13这种问题不停的情况,新一代iOS 14的开发工作已经使用了这种新工作方法。iOS 13,尤其是前几个版本,在发布后很快因bug不断而出名。彭博社解释说,此前的开发过程中,苹果工程师会在经过全面测试之前将功能“塞入” iOS版本中,这意味着使用测试设备运行这些内部版本成为噩梦,因为系统以不同的稳定性级别运行了许多不同的组件分支(新浪数码注:他们意思是测试过程变得不完善)。这就是bug不断的原因。对苹果而言,了解其软件的实际状态几乎是不可能的。而在iOS 14开发上,是将所有开发中的功能默认禁用,必须使用特殊的配置菜单才能启用
发表于 2019-11-26
苹果问题之多,iOS 13更新频繁
对于苹果用户来说,今年的iOS 13更新过于频繁了,不过也是没有办法的办法,因为问题真的是太多了。而在今日,苹果悄悄放出了iOS 13.3的第二个测试版,其中一同的推出的还所有tvOS 13.3 beta2与WatchOS 6.1.1。iOS 13.3 目前增加了Memoji键盘设置,还有屏幕时间的一些功能。从目前的情况看,在iOS 13.1.2系统上出现的严重电池BUG似乎“死灰复燃”,数个充放电循环后都证实,iOS 13.2.2中电池明显不耐用了。在社交媒体上也有一些吐槽iOS 13.2.2费电的动态,甚至希望苹果开放签名,准许回退到iOS 12系统。回顾两周前,苹果发布了iOS 13.2、iPadOS 13.2、tvOS
发表于 2019-11-13
苹果问题之多,iOS 13更新频繁
iOS 13.3测试版发布 用户反馈反应“杀后台”问题缓解
新浪数码讯 11月6日上午消息,苹果公司今天向开发人员发布了iOS 13.3的第一个测试版,根据已经更新的用户回馈,它似乎修复了iOS 13.2系统中令人头疼的“杀后台”问题。上周iOS 13.2系统发布之后,很多iPhone和iPad用户吐槽称,这版本对RAM(运行缓存)管理不善,尤其是切换程序的时候,经常会造成后台任务重新加载的情况发生。对中国用户来讲,最明显的就是他们常用的微信,很多人反馈“一天见了N次地球”(微信打开加载画面)。这是小问题,但却很影响用户体验。这问题影响的不只是第三方App,甚至也包括苹果自己的,国外也有用户反馈,YouTube和苹果自带的Safari浏览器之类的应用重新加载的频率高于正常水平,与iOS
发表于 2019-11-08
AIoT时代,智能硬件的安卓和 iOS指日可待
乏力,手机芯片作为应用处理器,其形态已经非常固化,即GPU玩游戏,ISP负责美颜,「再进入这个市场已经没什么意义了」。 中科物栖要让物端芯片产生质变。一方面,现有的智能硬件大部分都是「功能机」,所谓的「智能」,只停留于WIFI连接和收发数据,严格来讲,只是物联网领域的「连接」属性,端上并不具备AI计算、数据处理和人际交互能力。 中科物栖的芯片模组既不是为手机去设计,也不是为服务器去设计。而是替换现有的单板机和MCU的芯片市场。然后在物端芯片的基础之上,去定义「全新的物端操作系统」。王颖认为,在AIoT时代,同样有机会靠物端AI芯片打造属于AIoT时代的安卓和iOS。 团队拿出的解决方案,是自上而下
发表于 2019-11-01
AIoT时代,智能硬件的安卓和 iOS指日可待
对大脑进行的逆向工程,是否能让AI成长?
;这一神秘的认知过程,值得被不断探索推演。 对1立方毫米的脑组织进行逆向工程近年来一项名为Machine Intelligence from Cortical Networks(皮层网络机器智能,以下简称Microns)的项目为行业提供了全新的思路——对于大脑灰质皮层进行“逆向工程”,破解出其中的运行策略,转换成可为机器所用的算法。 这一项目来自2013年奥巴马政府提出的“BRAIN倡议”,通过一亿美金的支持,倡导科学家们从认知科学、神经科学、融合科学等多个角度来对人类大脑的运行方式进行研究。 这一倡议被视作第二个人类基因组计划——后者由多个国家的政府、学术机构共同参与,耗时十三年对人类基因组进行测序
发表于 2019-04-11
对大脑进行的逆向工程,是否能让AI成长?
小广播
何立民专栏 单片机及嵌入式宝典

北京航空航天大学教授,20余年来致力于单片机与嵌入式系统推广工作。

电子工程世界版权所有 京ICP证060456号 京ICP备10001474号 电信业务审批[2006]字第258号函 京公海网安备110108001534 Copyright © 2005-2019 EEWORLD.com.cn, Inc. All rights reserved