首页
论坛
课程
招聘
[原创]iOS inlinehook绕过反调试
2019-9-10 17:17 17641

[原创]iOS inlinehook绕过反调试

2019-9-10 17:17
17641

开始

之前写过一篇iOS LLDB中基于内存单指令patch实现反反调试介绍了在LLDB中如何通过单指令patch的方式去绕过ptrace来反调试。但后面还有一些情况没有解决:如果不是调用ptrace函数,而是直接编写内联汇编的方式,调用对应的系统调用来间接实现反调试,那么这种方式之前的那种办法就不再可行。本文就准备解决那种用内联汇编的反调试方式。

两种绕过方案

这里有两种方案去绕过这种反调试:

  • 静态内存匹配特征patch
  • 实现一个简单的inlinehook动态hook绕过

静态内存匹配特征patch

在介绍思路之前,先看下一遍内联汇编去实现反调试的代码

    asm volatile(
                 "mov x0,#31\n"
                 "mov x1,#0\n"
                 "mov x2,#0\n"
                 "mov x3,#0\n"
                 "mov x16,#26\n"
                 "svc #128\n"
                 );

这里可以看出原理就是调用了26号系统调用,那么我们是不是可以去代码段里面去搜索,找到满足该特征的代码位置,然后直接将svc置为 nop不就可以了?下面引出两个问题,如何去遍历代码段以及如何去修改?

获取代码段位置以及大小

void getTextSegmentAddr(struct segmentRange *textSegRange){

    int offset = 0;
    struct mach_header_64* header = (struct mach_header_64*)_dyld_get_image_header(0);

    if(header->magic != MH_MAGIC_64) {
        return ;
    }

    offset = sizeof(struct mach_header_64);
    int ncmds = header->ncmds;

    while(ncmds--) {
        /* go through all load command to find __TEXT segment*/
        struct load_command * lcp = (struct load_command *)((uint8_t*)header + offset);
        offset += lcp->cmdsize;

        if(lcp->cmd == LC_SEGMENT_64) {
            struct segment_command_64 * curSegment = (struct segment_command_64 *)lcp;
            struct section_64* curSection = (struct section_64*)((uint8_t*)curSegment + sizeof(struct segment_command_64));

            // check current section of segment is __TEXT?
            if(!strcmp(curSection->segname, "__TEXT") && !strcmp(curSection->sectname, "__text")){
                uint64_t memAddr = curSection->addr;
                textSegRange->start = memAddr + _dyld_get_image_vmaddr_slide(0);
                textSegRange->end = textSegRange->start + curSection->size;
                break;
            }

        }
    }
    return ;
}

代码不复杂,就是动态解析了自身内存里面的macho文件,根据macho文件格式找到代码段LC_SEGMENT_64(_TEXT)然后就能得到__text的开始位置以及大小。

内存搜索匹配ptrace内联汇编代码

void* lookup_ptrace_svc(void* target_addr, uint64_t size){
    uint8_t * p = (uint8_t*)target_addr;

    for(int i = 0; i < size ;i++ ){
        /*
         mov       x16, #0x1a -> 0xd2800350
         svc        #0x80 -> 0xd4001001
         */
        if (*((uint32_t*)p) == 0xd2800350 && *((uint32_t*)p+1) == 0xd4001001) {
            return p;
        }
        p++;
    }
    return NULL;
}

传入的就是代码段的地址以及大小,然后遍历整个代码段,找到满足以下ptrace特征汇编代码

 mov       x16, #0x1a -> 0xd2800350
 svc        #0x80 -> 0xd4001001

然后就返回该地址。

patch代码(将svc改为nop)

iOS LLDB中基于内存单指令patch实现反反调试这篇文章介绍了如何去patch代码的原理,但当时遇到一个bug:在iOS11/12上面patch会失败,后面我花了一段时间去分析了失败的原因,后来也写了一篇文章去记录了分析的过程,感兴趣的可以访问iOS12内存patch remap bug分析

 

这里我就直接给出patch的代码

uint8_t patch_ins_data[4] = {0x1f, 0x20, 0x03, 0xd5}; // nop
patchCode(ptrace_svc_p+4, patch_ins_data , 4);

完整流程代码如下

- (void)kill_anti_debug{

    struct segmentRange textSegRange;
    getTextSegmentAddr(&textSegRange);
    void* ptrace_svc_p = lookup_ptrace_svc((void*)textSegRange.start, textSegRange.end-textSegRange.start);
    if (!ptrace_svc_p) {
        ADDLOG(@"[-] not found ptrace svc");
        return;
    }

    ADDXLOG(@"[+] found ptrace svc # address=%p", ptrace_svc_p);

    char* ptrace_bytes = hex_dump((void*)ptrace_svc_p, 8);

    ADDXLOG(@"[+] read ptrace svc ins address:%p size:0x%x inst_bytes:%s", ptrace_svc_p, 8, ptrace_bytes);
    free(ptrace_bytes);

    ADDLOG(@"[*] start to ptach ptrace svc to ret");


    uint8_t patch_ins_data[4] = {0x1f, 0x20, 0x03, 0xd5};

    patchCode(ptrace_svc_p+4, patch_ins_data , 4);
    ADDLOG(@"[*] ptach ptrace svc to nop done, read new value");

    ptrace_bytes = hex_dump((void*)ptrace_svc_p, 8);
    ADDXLOG(@"[+] read ptrace svc ins address:%p size:0x%x inst_bytes:%s", ptrace_svc_p, 8, ptrace_bytes);
    free(ptrace_bytes);

}

通过比对前后的代码就发现svc出地址的代码已经变成了nop从而绕过了反调试

inlinehook动态hook绕过

这种方式主要针对那些混淆了系统调用号或者其他编译版本,其绕过原理是直接hook svc指令,然后判断是否为26号系统调用(让其他系统调用正常执行),若满足就直接跳过svc指令。

 

整体流程代码如下

  struct segmentRange textSegRange;
  getTextSegmentAddr(&textSegRange);
  void* svc_p = lookup_svc_ins((void*)textSegRange.start, textSegRange.end-textSegRange.start);
  if (!svc_p) {
      ADDLOG(@"[-] not found svc");
      return;
  }

  ADDXLOG(@"[+] found svc # address=%p", svc_p);

  char* svc_bytes = hex_dump((void*)svc_p, 4);

  ADDXLOG(@"[+] read ptrace svc ins address:%p size:0x%x inst_bytes:%s", svc_p, 4, svc_bytes);
  free(svc_bytes);

  xia0Hook(svc_p);

同样遍历代码段找到所有的svc指令,然后进行hook,下面看hook的具体实现

bool xia0Hook(void* target_addr){
     int len = (int)sysconf(_SC_PAGESIZE);

    // 1. get target address page and patch offset
    unsigned long page_start = (unsigned long) (target_addr) & ~PAGE_MASK;
    unsigned long patch_offset = (unsigned long)target_addr - page_start;
    printf("[*] Target address:%p Page start:%p Patch offset:%p", target_addr, (void*)page_start, (void*)patch_offset);

    // 2. map new page for patch
    void *new = mmap(NULL, len, PROT_READ | PROT_WRITE, MAP_ANON | MAP_SHARED, -1, 0);
    if (!new ){
        printf("[-] mmap failed!");
        return false;
    }

    // 3.copy target 4 ins to new page
    int copy_size = 4*4;
    void* copy_from_addr = target_addr - copy_size;
    memcpy((void *)(new), copy_from_addr, copy_size);

    /*
     cmp x16, #0x1a
     b.ne loc_not_ptrace_svc_jmp
     ldr x17, #0x8
     br x17
     orig_svc_next_addr_1
     orig_svc_next_addr_2
     ldr x17, #0x8
     br x17
     orig_svc_addr_1
     orig_svc_addr_2
     */
    uint64_t orig_svc_addr = (uint64_t)target_addr;
    uint64_t orig_svc_next_addr = (uint64_t)(target_addr+1*4);
    uint8_t check_jmp_data[] = {0x1f, 0x6a, 0x00, 0xf1, 0x51, 0x00, 0x00, 0x58, 0x20, 0x02, 0x1f, 0xd6, orig_svc_next_addr&0xff, (orig_svc_next_addr>>8*1)&0xff,  (orig_svc_next_addr>>8*2)&0xff,  (orig_svc_next_addr>>8*3)&0xff,  (orig_svc_next_addr>>8*4)&0xff,  (orig_svc_next_addr>>8*5)&0xff,  (orig_svc_next_addr>>8*6)&0xff,  (orig_svc_next_addr>>8*7)&0xff, 0x51, 0x00, 0x00, 0x58, 0x20, 0x02, 0x1f, 0xd6, orig_svc_addr&0xff, (orig_svc_addr>>8*1)&0xff,  (orig_svc_addr>>8*2)&0xff,  (orig_svc_addr>>8*3)&0xff,  (orig_svc_addr>>8*4)&0xff,  (orig_svc_addr>>8*5)&0xff,  (orig_svc_addr>>8*6)&0xff,  (orig_svc_addr>>8*7)&0xff};

    int check_jmp_data_size = 10*4;
    memcpy((void *)(new+4*4), check_jmp_data, check_jmp_data_size);

    // 4.patch target address to jmp hook code
    void* patch_addr = copy_from_addr;
    uint64_t new_p = (uint64_t)new;

    /*
     ldr x16, #0x8
     br x16
     hook_code_addr_1
     hook_code_addr_2
     */
    uint8_t patch_data[] = {0x50, 0x00, 0x00, 0x58, 0x00, 0x02, 0x1f, 0xd6,new_p&0xff, (new_p>>8*1)&0xff,  (new_p>>8*2)&0xff,  (new_p>>8*3)&0xff,  (new_p>>8*4)&0xff,  (new_p>>8*5)&0xff,  (new_p>>8*6)&0xff,  (new_p>>8*7)&0xff};
    int patch_data_size = 4*4;
    patchCode(patch_addr, patch_data, patch_data_size);

    // 5. set new page to r-x
    mprotect(new, len, PROT_READ | PROT_EXEC);

    return true;
}

这里代码比较复杂,大致分为以下步骤

  • map一页内存new,后面会将hook的代码写到里面

  • copy原svc前的四条指令保存到new页(目前没有进行相对寻址修复)

  • 将hook判断的代码写到紧接着前面四条指令的后面,汇编代码大致如下

     cmp x16, #0x1a
     b.ne loc_not_ptrace_svc_jmp
     ldr x17, #0x8
     br x17
     orig_svc_next_addr_1
     orig_svc_next_addr_2
     ldr x17, #0x8
     br x17
     orig_svc_addr_1
     orig_svc_addr_2
    

    就是简单的判断了系统调用号是否为26,若满足就跳到svc的下一条指令,若不是则跳回原svc指令以保证其他系统调用正常执行。

  • patch目标地址进行hook跳转,由于进行任意地址跳转需要4条指令大小,所以这里覆盖了svc前的四条指令

     ldr x16, #0x8
     br x16
     hook_code_addr_1
     hook_code_addr_2
    

    这里就是在执行svc指令前使其跳转到我们的hook代码

  • 最后将new这页设置为可读不可写可执行的页属性

总结/Todo

其实对于这种inlinehook去绕过调试,后面发现已经有人已经实现了,因为只要实现了inlinehook,肯定能hook代码绕过。不过我这里主要是想去自己分析以及实现这里面的很多细节。因为hook框架由于要考虑到稳定,兼容等等因素,所以往往代码不是很直接。而这里通过仅仅实现绕过反调试的需求,所以代码都比较通俗易懂,原理来说都是一样的。只有自己去动手写了代码才发现里面的乐趣所在,比如如何去实现系统调用的判断?如何解决寄存器污染?如何去实现代码段patch?当然还有很多汇编级别的坑存在,踩坑解决坑同样有意思,这里就不一一介绍。

 

后面主要还有两个事需要做:

  • 相对寻址指令的修复问题,以及hook代码的稳定兼容扩展问题。
  • 抽离相关代码,集成到xia0LLDB之中,真正实现调试器中一键绕过反调试。

参考

  • https://stackoverflow.com/questions/25286221/how-to-find-text-segment-range-in-ios
  • https://github.com/coolstar/substitute
  • http://jmpews.github.io/2017/08/09/darwin/%E5%8F%8D%E8%B0%83%E8%AF%95%E5%8F%8A%E7%BB%95%E8%BF%87/
  • http://4ch12dy.site/2019/08/16/iOS12-remap-bug-analyze/iOS12-remap-bug-analyze/
  • http://4ch12dy.site/2019/08/12/xia0lldb-anti-anti-debug/xia0lldb-anti-anti-debug/

[看雪官方培训] Unicorn Trace还原Ollvm算法!《安卓高级研修班》2021年6月班开始招生!!

最后于 2019-9-10 17:31 被xia0编辑 ,原因:
收藏
点赞4
打赏
分享
最新回复 (19)
雪    币: 15739
活跃值: 活跃值 (14105)
能力值: (RANK:75 )
在线值:
发帖
回帖
粉丝
Editor 活跃值 2019-9-10 18:04
2
0
mark!
雪    币: 5129
活跃值: 活跃值 (567)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
jgs 活跃值 2019-9-10 18:26
3
0
谢谢楼主分享
雪    币: 1098
活跃值: 活跃值 (199)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
fishso 活跃值 2019-9-10 19:33
4
0
楼主厉害,感谢分享
雪    币: 101
活跃值: 活跃值 (247)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
xxRea 活跃值 2019-9-11 14:23
5
0
mark!
雪    币: 13
活跃值: 活跃值 (28)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
chaogelai 活跃值 2019-9-12 21:59
6
0
感谢分享
雪    币: 610
活跃值: 活跃值 (217)
能力值: ( LV4,RANK:40 )
在线值:
发帖
回帖
粉丝
ugvjewxf 活跃值 2019-9-17 08:25
7
0
thank you
雪    币: 13
活跃值: 活跃值 (28)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
chaogelai 活跃值 2019-9-25 15:30
8
0
代码段能直接修改吗 如果真是可以修改这个就厉害了 注入到进程想干嘛干嘛了。既然能改代码段了 顺便问问有没有实现PC上 写入INT3 接管异常来处理寄存器的技术
最后于 2019-9-25 15:38 被chaogelai编辑 ,原因:
雪    币: 1565
活跃值: 活跃值 (182)
能力值: ( LV5,RANK:60 )
在线值:
发帖
回帖
粉丝
xia0 活跃值 1 2019-9-25 15:55
9
0
chaogelai 代码段能直接修改吗&nbsp;如果真是可以修改这个就厉害了&nbsp;注入到进程想干嘛干嘛了。既然能改代码段了&nbsp;顺便问问有没有实现PC上&nbsp;写入INT ...
是的,就是改代码段。可以再调试器中做很多细腻的操作
雪    币: 13
活跃值: 活跃值 (28)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
chaogelai 活跃值 2019-9-25 16:33
10
0
xia0 是的,就是改代码段。可以再调试器中做很多细腻的操作
最后于 2019-9-26 13:08 被chaogelai编辑 ,原因:
雪    币: 111
活跃值: 活跃值 (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
月光阴影 活跃值 2019-9-26 17:38
11
0
patchCode函数的代码怎么实现的?
雪    币: 344
活跃值: 活跃值 (328)
能力值: ( LV3,RANK:30 )
在线值:
发帖
回帖
粉丝
liumengde 活跃值 2019-10-13 19:58
12
0
patchCode函数的代码怎么实现的?
雪    币: 1565
活跃值: 活跃值 (182)
能力值: ( LV5,RANK:60 )
在线值:
发帖
回帖
粉丝
xia0 活跃值 1 2019-10-14 16:23
13
0
月光阴影 patchCode函数的代码怎么实现的?
https://github.com/4ch12dy/xia0LLDB/blob/master/debugme.py 这个文件里面有实现代码
雪    币: 1565
活跃值: 活跃值 (182)
能力值: ( LV5,RANK:60 )
在线值:
发帖
回帖
粉丝
xia0 活跃值 1 2019-10-14 16:24
14
0
https://github.com/4ch12dy/xia0LLDB/blob/master/debugme.py 这个文件里面有实现代码
雪    币: 258
能力值: ( LV1,RANK:0 )
在线值:
发帖
回帖
粉丝
mb_oxfaajng 活跃值 2020-10-22 13:47
16
0
感谢大佬分享,学到了
雪    币: 234
活跃值: 活跃值 (133)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
LeoW丨 活跃值 2020-10-23 15:14
17
0
之前改svc为nop都是用IDA,去patch的。楼主分享的很赞,去查找.text段,修改。学到了
雪    币: 16
能力值: ( LV1,RANK:0 )
在线值:
发帖
回帖
粉丝
YunsChou 活跃值 2020-10-23 16:51
18
0

谢谢楼主分享

最后于 2020-10-23 16:51 被YunsChou编辑 ,原因:
雪    币: 42
活跃值: 活跃值 (17)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
LeeLinux 活跃值 2020-12-22 15:26
19
0
饱学之士
雪    币: 440
活跃值: 活跃值 (653)
能力值: ( LV8,RANK:120 )
在线值:
发帖
回帖
粉丝
crazyearl 活跃值 2 2021-1-16 15:59
20
0

楼主的方案和frida、dobbyhook的hook很像 .
但是有一个祖传的bug一直没有解决,就是页边界问题.每个页0x4000
hook一次最少使用0x10 也就是4行代码. 如果hook的函数正好处于
0x3ffc 的时候就会崩溃.我的解决方案就是
```
typedef struct _CopyMemoryInfo {
        void* hook_address;
        int copy_size;
        addr_t page_align_address;
        int offset;
        void* remap_page;
    }CopyMemoryInfo;
    
    // 检查是否可以hOOK
    if (!isHooking((size_t)function_address)) {
        return kCantHook;
    }
    
    //
    // 先创建一页内存, 将被hOOK的函数当前页整个拷贝进来
    // 因为后面调用内核函数mach_vm_remap只能复制整页内存回去
    int page_size = OSMemory::PageSize();
    static mach_port_t self_port = mach_task_self();
    addr_t page_align_address = ALIGN_FLOOR(function_address, page_size);
    int offset = static_cast<int>((addr_t)function_address - page_align_address);
    
    void* remap_page = mmap(0, page_size, PROT_READ | PROT_WRITE, MAP_PRIVATE | MAP_ANONYMOUS, VM_MAKE_TAG(255), 0);
    if(remap_page == NULL) {
        return kMemoryOperationError;
    }
    
    // 第一页从哪开始 - 拷贝几个字节
    int curr_size = page_size - offset;
    if (curr_size >= 0x10) { curr_size = 0x10; }
    CopyMemoryInfo copy_list[2] = {{function_address, curr_size, page_align_address, offset, remap_page}, {0}};
    
    // 这种情况下,HOOK会崩溃.因为已经在页的边界了,我们最低需求是0x10个字节.
    if(curr_size < 0x10) {
        // 下一页从哪开始 - 拷贝几个字节
        void * next_address = (void*)((size_t)function_address + curr_size);
        copy_list[1].hook_address = next_address;
        copy_list[1].copy_size = 0x10 - curr_size;
        addr_t next_page_align_address = ALIGN_FLOOR(next_address, page_size);
        copy_list[1].page_align_address = next_page_align_address;
        copy_list[1].offset = static_cast<int>((addr_t)next_address - next_page_align_address);
        
        void* remap_page = mmap(0, page_size, PROT_READ | PROT_WRITE, MAP_PRIVATE | MAP_ANONYMOUS, VM_MAKE_TAG(255), 0);
        if(remap_page == NULL) {
            return kMemoryOperationError;
        }
        copy_list[1].remap_page = remap_page;
    }
    
    // new一块内存保存 old头部的0x10代码
    void* oldCall = OSMemory::NewMemory(0x20);
    if(oldCall == NULL) {
        return kMemoryOperationError;
    }
    
    // 跳转代码长度
    size_t size = (size_t)func_JumpCallEndin - (size_t)func_JumpCallBegin;
    
    // 将原始代码先保存起来
    int cpyLength = 0;
    for(int i = 0; i < 2; i++) {
        if(copy_list[i].hook_address == 0) {
            break;
        }
        kern_return_t kr = vm_copy(
            self_port,(vm_address_t)copy_list[i].page_align_address, page_size, (vm_address_t)copy_list[i].remap_page);
        if (kr != KERN_SUCCESS) {
            munmap((void *)copy_list[i].remap_page, (mach_vm_address_t)page_size);
            return kMemoryOperationError;
        }
        
        // 将原始代码先保存起来
        memcpy((void*)((size_t)oldCall + cpyLength), (void*)((size_t)copy_list[i].remap_page + copy_list[i].offset), copy_list[i].copy_size);
        cpyLength += copy_list[i].copy_size;
    }
    
    //
    // 检查前4条指令是否可以HOOK,如果可以HOOK
    // 从新计算被HOOK的4条指令中的相对地址,并且生成新的字节码
    // 例如
    // 10643ca70 : adrp x8, #0x10872a000 的字节码是 68 17 01 d0
    // 如果我们原封不动的将上面的字节码拷贝出来在运行的时候
    // 由于oldCall的地址并不是10643ca70取值的指针错误导致崩溃或者其他错误
    // 所以要根据oldCall的地址从新计算
    if(!makeOrigin(oldCall, 0x10, (size_t)function_address)) {
        for(int i = 0; i < 2; i++) {
            if(copy_list[i].remap_page != 0) {
                munmap((void *)copy_list[i].remap_page, (mach_vm_address_t)page_size);;
            }
        }
        OSMemory::SubOffset(0x20);
        return kCantHook;
    }
    
    //
    // 制作一个跳转回去被HOOK函数的中继函数
    // 上面创建oldCall的时候是0x20字节
    // 前0x10字节保存hOOK函数的头部的前0x10
    // 后0x10字节保存我们跳到hook函数+0x10的地址
    memcpy((void*)((size_t)oldCall + 0x10), (const void*)func_JumpCallBegin, size);
    *(size_t*)((size_t)oldCall + 0x10 + size) = (size_t)function_address + 0x10;
    *origin_call = oldCall;
    // 这里注意,将oldCall这一整页一定设置成 只读、执行. 否则崩溃,这个错误我排了4个小时血泪记录
    mprotect(OSMemory::GetAddress(), page_size, PROT_READ | PROT_EXEC);
    
    // 设置跳转代码
    char* buffer = new char[size + 8];
    memset(buffer, 0, size + 8);
    memcpy(buffer, (void*)func_JumpCallBegin, size);
    *(size_t*)(buffer + 8) = (size_t)replace_call;
    cpyLength = 0;
    for(int i = 0; i < 2; i++) {
        if(copy_list[i].hook_address == 0) {
            break;
        }
        memcpy((void*)((size_t)copy_list[i].remap_page + copy_list[i].offset),
               (void*)((size_t)buffer + cpyLength), copy_list[i].copy_size);
        cpyLength += copy_list[i].copy_size;
    }
    delete [] buffer;
    
    for(int i = 0; i < 2; i++) {
        if(copy_list[i].hook_address == 0) {
            break;
        }
        mprotect((void *)copy_list[i].remap_page, page_size, PROT_READ | PROT_EXEC);
        mach_vm_address_t dest_page_address_ = (mach_vm_address_t)copy_list[i].page_align_address;
        vm_prot_t curr_protection, max_protection;
        kern_return_t kr = mach_vm_remap(self_port, &dest_page_address_, page_size, 0, VM_FLAGS_OVERWRITE | VM_FLAGS_FIXED,
                           self_port, (mach_vm_address_t)copy_list[i].remap_page, TRUE, &curr_protection, &max_protection, VM_INHERIT_COPY);
        if (kr != KERN_SUCCESS) {
            return kMemoryOperationError;
        }
        
        // unmap the origin page
        int err = munmap((void *)copy_list[i].remap_page, (mach_vm_address_t)page_size);
        if (err == -1) {
            return kMemoryOperationError;
        }
    }

```

另外相对地址可以使用  Capstone + Keystone帮你完成

最后于 2021-1-16 16:07 被crazyearl编辑 ,原因:
游客
登录 | 注册 方可回帖
返回