原文地址:http://drops.wooyun.org/tips/6444

author vvun91e0n

0x00 前言

閱讀學習國外nemo大牛《Modern Objective-C Exploitation Techniques》文章的內容，就想在最新的OS X版本上調試出作者給出的代碼。控制rip。我根據自己的調試，修改了原程序，才調試成功。對大牛原程序的部分代碼的意圖和計算方法難免理解不足，歡迎留言與我交流學習。本文主要簡要介紹下對objective-c類的覆蓋到控制rip的技術。是目前OS X平臺下，比較主流的一種溢出利用方式。

0x01 64位匯編知識及lldb簡單調試命令

匯編知識主要是在調試的時候使用，在64位平臺下調試必不可少的知識。對此熟悉的讀者可直接跳過。下面簡要介紹下64位匯編。

RIP的就是64位的指令寄存器。

通用64位寄存器

RAX RBX RCX RDX RBP RSI RDI RSP

R8 －－－ R15

可以使用

• EAX 訪問RAX的低32bits
• AX 訪問RAX的低16bits
• AL 訪問RAX的低8bist
• AH 訪問RAX低16bits的高8bits

OS X 64位的匯編調用約定，可以參考AMD64 Application Binary Interface

x86-64 Function Calling convention:

1. If the class is MEMORY, pass the argument on the stack.

2. If the class is INTEGER, the next available register of the sequence %rdi, %rsi, %rdx, %rcx, %r8 and %r9 is used.

可以看到和32位匯編的通過push壓棧來傳遞參數不同，函數的參數傳遞基本是通過寄存器來完成的。順序如上。 32位匯編通過int 0x80來進行系統調用，64位匯編是通過syscall來調用的。

lldb是蘋果公司推出的用以替代gdb的調試器。隨xcode一起安裝。是進行動態調試的利器。調試時必不可少。下面簡要介紹下會用到的一些基礎命令：

在命令行輸入lldb，就會進入調試工具

(lldb)

help會顯示所有的命令，需要詳細了解可以用輸入help ＋ 命令查詢

file命令加載需要調試的程序

(lldb) file /Users/vvun91e0n/Desktop/OC64exploit
Current executable set to '/Users/vvun91e0n/Desktop/OC64exploit' (x86_64).

breakpoint set用來設置斷點

(lldb) breakpoint set --name length

breakpoint list可以用來查看所有斷點 breakpoint disable 關閉斷點 breakpoint enable 激活斷點 ni 單步步不執行指令

run或r啟動進程進行調試

register read 讀取現在所有寄存器的值 想讀取特定的幾個寄存器，寫在后面就行，使用簡化命令如

(lldb) re r rdi r10 rsi
 rdi = 0x0000000100202fa0
 r10 = 0x0000000000000001
 rsi = 0x00007fff907bb509

memory read 可以讀取指定地址的內存數據，如下指定地址就是length字符串。也可以使用gdb風格的x 0x00007fff907bb509命令來讀取內存數據。

(lldb) memory read 0x00007fff907bb509
0x7fff907bb509: 6c 65 6e 67 74 68 00 69 73 54 79 70 65 4e 6f 74  length.isTypeNot
0x7fff907bb519: 45 78 63 6c 75 73 69 76 65 3a 00 61 70 70 65 6e  Exclusive:.appen
(lldb) x 0x00007fff907bb509
0x7fff907bb509: 6c 65 6e 67 74 68 00 69 73 54 79 70 65 4e 6f 74  length.isTypeNot
0x7fff907bb519: 45 78 63 6c 75 73 69 76 65 3a 00 61 70 70 65 6e  Exclusive:.appen

continue 或者c 命令來繼續執行。 kill來結束進程。run來重新啟動。 其他如條件斷點，修改寄存器值等命令讀者可以使用help命令了解。

0x02 objective-c方法調用

你需要對objective-c語言有一定的基本的了解。特別是objc_msgSend函數的調用機制。可以參考：《The Objective-C Runtime: Understanding and Abusing》。這篇文章是nemo2009年發表在phrack上的。在32位系統基礎上講Objective-C Runtime溢出的文章。還是有閱讀價值的。特別是對后面64位溢出的理解。

下面簡要介紹下objective-c，先看看一個簡單的類實現和調用：

#!c
//  Talker.h
#import <Foundation/Foundation.h>
@interface Talker : NSObject        //定義一個類
- (void) say: (char *) str;         //聲明一個say方法
@end

//  Talker.m
#import "Talker.h"
@implementation Talker              //類的相關方法實現
- (void) say: (char *) phrase
{
    printf("%s\n",phrase);
}
@end

//main.m
#import "Talker.h"
int main(int argc, const char * argv[]) {
    @autoreleasepool {
        // insert code here...
        Talker *talker = [[Talker alloc] init];//分配內存，初始化
        [talker say: "Hello, World!"];          //調用say方法
    }
    return 0;
}

如上面代碼所示，定義了一個Talker類，并在main函數中調用了say方法。 可以看出objective-c語言的方法調用語法為

[\