本文共 1351 字，大约阅读时间需要 4 分钟。
IOS逆向-ASLR
在逆向中，我们无法使用breakpoint set -n "-[xxxxx xxxx:]"的方式来打断点，这种方式适合在Xcode工具中使用。在逆向中，我们一般使用breakpoint set -a 地址来打断点，通过函数的内存地址来打断点。
那么如何找到正确的函数地址了？
首先，我们需要了解Mach-O文件的结构。Mach-O文件将程序的代码和数据分配到不同的内存段中，主要包括以下几段：
_TEXT（代码段）_DATA（数据段）_BSS（未初始化的全局变量段）_LINKEDIT（符号游离 段）_PAGEZERO（安全区域）我们可以使用MachoView等工具来分析Mach-O文件的结构。通过这些工具，我们可以看到各个段的内存地址和占用情况。
虚拟内存地址(Virtual Memory Address)表示的是程序在内存中的逻辑地址，而文件偏移(File Offset)表示的是在Mach-O文件中的实际位置。对于iOS应用程序来说，代码段（_TEXT）的内存地址根据架构类型有所不同：
0x100000000（8个0）0x4000（3个0）我们可以通过命令size -l -m -x来查看Mach-O文件的内存分布情况。
需要注意的是，_PAGEZERO实际上并不存在于Mach-O文件中，它只是内存布局中的一个概念，用于表示程序安全区域的开始。
2.1 ASLR的定义
ASLR（Address Space Layout Randomization）是一种安全技术，通过随机化程序的地址空间布局，增加攻击者通过缓冲区溢出定位攻击目标的难度。iOS从4.3版本开始引入了ASLR技术。
2.2 函数地址获取
要获取函数的实际内存地址，我们需要了解Mach-O文件在内存中的加载方式。ASLR会引入一定的偏移量，即ASLR Offset，这会影响函数的实际运行地址。
函数的内存地址可以通过以下方式计算：
函数VM地址 = File Offset + ASLR偏移量 + _PAGEZERO
在逆向分析中，我们可以使用Hopper等工具分析Mach-O文件，但这些工具显示的地址是未经过ASLR随机化的地址。因此，在使用了ASLR的程序中，我们需要通过以下方式获取真实地址：
通过此方法，我们可以获取出函数在内存中的实际运行地址，并在LLDB等调试工具中通过函数地址打断点。
3.1 _PAGEZERO的作用
_PAGEZERO并不是Mach-O文件中存在的段，它是一个虚构的概念，用于表示程序安全区域的起始位置。在C语言中，NULL指针通常指向_PAGEZERO区域。在64位系统中，_PAGEZERO的位置是0x3ff000000。
通过以上方法，我们就可以成功绕过ASLR技术，获取函数和变量在内存中的真实地址。
转载地址：http://xxrgz.baihongyu.com/