macOS逆向初探：用HTeditor修改二进制c程序

0x0 首先我们来安装HT,命令如下

$ brew install ht

0x1 编写我们的第一个macOS程序：crackme 在Project中创建一个crackme文件夹，用来存放编写的源代码和编译结果。

$ cd Project
$ mkdir crackme
$ cd crackme

使用系统自带的vim创建crackme的源代码文件cm01.c
$ vim cm01.c
这时可以看到vim的编辑界面

在键盘上按a键进入编辑模式，输入以下代码

#include <stdio.h>
int main() {
    int secret = 0;
    printf("Please enter the secret num:");
    scanf("%d", &secret);
    if (secret != 123) {
        printf("Incorrect secret num.\n");
        return 0;
    }
    printf("Hello world!\n");
    return 0;
}

完成后按esc键退出编辑模式，输入：wq保存并退出vim
然后用clang编译

$ clang cm01.c

如果没出错就会生成cm01可执行文件，如果出错，你就要检查下代码是否输入错误
测试下crackme是否运行正常

接下来开始破解，让它在我们输入任意值的时候都会输出"Hello world!"

在终端启动HT,如图
按fn+f3选择文件，tab键移动光标到cm01并回车

会出现16进制界面，我们按fn+f6切换到反汇编界面，选择Mach-0/image

开始寻找判断数字是否正确的关键跳，并对其进行修改，一个简单的方法是我们输入一个错误的数字会出现Incorrect secret num 我们利用这句作为突破口，按fn+f7开始搜索 Incorrect 这里我出现一个坑就是Incorrect的大小写问题，会提示找不到，防止掉坑，i 改为大写的I
mode我们选择“display:regex”输入Incorrect回车，光标会定位到逻辑点。可以看到"Incorrect secret num"这个字符串，那么它上面的代码就是判断的跳转。代码如下

     100000ef0 !   jz         loc_100000f13

开始修改关键跳，按ctrl+a修改，jz改为jnz ,回车后HT会列出所写汇编代码的机器码，HT会帮我们选择最合适的，直接回车即可。可以看到变红的“85”
按fn+f2保存,开始测试crackme是否正常运行。输入一个错误的数字会输出“Hello，world” 证明我们已经破解成功了，如下图

但是这样的破解并不完美，想要在任何情况下都输出Hello World，将je改为jmp即可。再测试一下

0x3 我们输入什么都会提示成功，到这里我们第一个crackme就破解成功了。

转载于:https://blog.51cto.com/matcha/2369199