工具
NDKToolchain
是一套工具集,比如elf,READELF -l/-S可以查看Program Header Table与Section Header Table。-e参数为查看elf所有的文件头信息。
OBJDUMP -p查看Program Header Table,-x查看所有文件头信息。-d命令用于反汇编ELF并查看汇编代码。-t查看符号表,-r查看重定位。
ida的view->open subview->proximity xxx,可以看到函数大致流程比如:
然后修改文件可以使用给文件打补丁的方式,edit->patch program->assemble,因为IDA pro不支持AArch64架构汇编,要使用插件,Keypatch插件。
编译原生C程序
for循环
通常,for循环语句开始处调整指令的比较条件是for循环的终止条件,跳转指令与跳转地址之间的指令为for循环的循环体。
一种快速分析for循环的方法是查看函数末尾无条件跳转指令,它的跳转目的地址就是for循环的开头。
C++逆向
下面是一段经过f5的代码。
方法指针转换成void*指针,占用字节数与平台相关,ARM中4字节,AArch64为8字节,var_type1与var_type2表示各种类型的字段。
通过C++对象模型代码知道,开头指针是类的方法指针列表。保存雷电虚方法列表,在代码中用vtable表示,下面则是雷电方法与字段。
C++类遵循以下准则。
- 由new()完成类大小字节的内存空间申请。
- 执行当前类初始化方法。
- 如果由父类,则在初始化方法中对基类的vtable与成员变量初始化。
- 入宫父类包含父类,进一步初始化,知道所有父类被初始化。
- 初始化当前类的vtable与成员变量。
- 初始化完成后,访问vtable中指针调用当前类的虚方法。
所以:
C++的RTTI
RTTI是Run-Time Type Identification,运行时类型信息。提供:
typeid操作符:返回指针和引用所指的实际类型。
dynamic_cast操作符:将基类类型的指针或引用安全地转换为派生类型的引用或者指针。