author vvun91e0n

0x00 前言

阅读学习国外nemo大牛《Modern Objective-C Exploitation Techniques》文章的内容，就想在最新的OS X版本上调试出作者给出的代码。控制rip。我根据自己的调试，修改了原程序，才调试成功。对大牛原程序的部分代码的意图和计算方法难免理解不足，欢迎留言与我交流学习。本文主要简要介绍下对objective-c类的覆盖到控制rip的技术。是目前OS X平台下，比较主流的一种溢出利用方式。

0x01 64位汇编知识及lldb简单调试命令

汇编知识主要是在调试的时候使用，在64位平台下调试必不可少的知识。对此熟悉的读者可直接跳过。下面简要介绍下64位汇编。

RIP的就是64位的指令寄存器。

通用64位寄存器

RAX RBX RCX RDX RBP RSI RDI RSP

R8 －－－ R15

可以使用

• EAX 访问RAX的低32bits
• AX 访问RAX的低16bits
• AL 访问RAX的低8bist
• AH 访问RAX低16bits的高8bits

OS X 64位的汇编调用约定，可以参考AMD64 Application Binary Interface

x86-64 Function Calling convention:

1. If the class is MEMORY, pass the argument on the stack.

2. If the class is INTEGER, the next available register of the sequence %rdi, %rsi, %rdx, %rcx, %r8 and %r9 is used.

可以看到和32位汇编的通过push压栈来传递参数不同，函数的参数传递基本是通过寄存器来完成的。顺序如上。 32位汇编通过int 0x80来进行系统调用，64位汇编是通过syscall来调用的。

lldb是苹果公司推出的用以替代gdb的调试器。随xcode一起安装。是进行动态调试的利器。调试时必不可少。下面简要介绍下会用到的一些基础命令：

在命令行输入lldb，就会进入调试工具

(lldb)

help会显示所有的命令，需要详细了解可以用输入help ＋ 命令查询

file命令加载需要调试的程序

(lldb) file /Users/vvun91e0n/Desktop/OC64exploit
Current executable set to '/Users/vvun91e0n/Desktop/OC64exploit' (x86_64).

breakpoint set用来设置断点

(lldb) breakpoint set --name length

breakpoint list可以用来查看所有断点 breakpoint disable 关闭断点 breakpoint enable 激活断点 ni 单步步不执行指令

run或r启动进程进行调试

register read 读取现在所有寄存器的值 想读取特定的几个寄存器，写在后面就行，使用简化命令如

(lldb) re r rdi r10 rsi
 rdi = 0x0000000100202fa0
 r10 = 0x0000000000000001
 rsi = 0x00007fff907bb509

memory read 可以读取指定地址的内存数据，如下指定地址就是length字符串。也可以使用gdb风格的x 0x00007fff907bb509命令来读取内存数据。

(lldb) memory read 0x00007fff907bb509
0x7fff907bb509: 6c 65 6e 67 74 68 00 69 73 54 79 70 65 4e 6f 74  length.isTypeNot
0x7fff907bb519: 45 78 63 6c 75 73 69 76 65 3a 00 61 70 70 65 6e  Exclusive:.appen
(lldb) x 0x00007fff907bb509
0x7fff907bb509: 6c 65 6e 67 74 68 00 69 73 54 79 70 65 4e 6f 74  length.isTypeNot
0x7fff907bb519: 45 78 63 6c 75 73 69 76 65 3a 00 61 70 70 65 6e  Exclusive:.appen

continue 或者c 命令来继续执行。 kill来结束进程。run来重新启动。 其他如条件断点，修改寄存器值等命令读者可以使用help命令了解。

0x02 objective-c方法调用

你需要对objective-c语言有一定的基本的了解。特别是objc_msgSend函数的调用机制。可以参考：《The Objective-C Runtime: Understanding and Abusing》。这篇文章是nemo2009年发表在phrack上的。在32位系统基础上讲Objective-C Runtime溢出的文章。还是有阅读价值的。特别是对后面64位溢出的理解。

下面简要介绍下objective-c，先看看一个简单的类实现和调用：

#!c
//  Talker.h
#import <Foundation/Foundation.h>
@interface Talker : NSObject        //定义一个类
- (void) say: (char *) str;         //声明一个say方法
@end

//  Talker.m
#import "Talker.h"
@implementation Talker              //类的相关方法实现
- (void) say: (char *) phrase
{
    printf("%s\n",phrase);
}
@end

//main.m
#import "Talker.h"
int main(int argc, const char * argv[]) {
    @autoreleasepool {
        // insert code here...
        Talker *talker = [[Talker alloc] init];//分配内存，初始化
        [talker say: "Hello, World!"];          //调用say方法
    }
    return 0;
}

如上面代码所示，定义了一个Talker类，并在main函数中调用了say方法。 可以看出objective-c语言的方法调用语法为

[\