关于《iOS应用逆向与安全》第三章class-dump原理问题

zhuowuchen · 2019 年5 月 28 日 11:36

如何根据Data的值获取到classname的字符串？书上的转换步骤有点不懂。

模块在文件中的偏移地址为0x18000

模块在内存中的地址为0x100000000

有点小白，这里自己总是不知道怎么算出来的。调试了class-dump的代码，但是看了它是用的OSReadLittleInt64([_data bytes], _offset); 这个方法直接读取了变量。还是不清楚是怎么算出来的。

snakeninny · 2019 年5 月 28 日 14:03

@AloneMonkey

AloneMonkey · 2019 年5 月 28 日 15:03

0x18000 + (0x100008fa0 - 0x100000000) = 0x20fa0

Data: 0x100008578

0x18000 + (0x100008578 - 0x100000000) = 0x20578

0x18000 + (0x100006c25 - 0x100000000) = 0x1EC25

liangze · 2019 年5 月 28 日 23:41

书中问题：

P112 hopper把3210和3214当成了一个偏移来解析，解析出来的是偏移0x18处的loginButton属性，而3214对应的是偏移0x08处的属性，这个是怎么算(看)出来的呀。

zhuowuchen · 2019 年5 月 29 日 01:31

请问下，你的第一个截图是哪个section的？我好像都翻了一遍，没找到你这张截图在MachOView的位置。今天翻了整个Executable(ARM64_ALL)查到有这个地址了。但是想知道你的这个截图是哪里的？
另外，算出来0x20578后，这个0x6c25对应的不是0x20590处的地址吗？

zhuowuchen · 2019 年5 月 29 日 02:12

今早自己想了下，是不是因为获取到的0x20578是整个结构体class_ro_t所在的地址，从这个地址排除前面变量的占位（uint32_t 的flags, instanceStart, instanceSize, reversed和uint8_t * ivarLayout）总共占用位数是24个字节。然后name的位置就是0x20578+这些占用的空间位置得到的最终地址是0x20590。