使用ARM汇编破解iOS程序基础知识分享

一、thumb指令与arm指令

　　thumb指令为16位，因此存储代码的密度高，节省存储空间。但是功能不全，它只是arm指令（32位）集的补充，是arm指令集下的一个子集。在初级阶段我们不需要了解这些知识，只要有个概念知道有这么个东西就可以。

二、arm的寄存器初步了解

　　r0-r3:　　　　　　　　用于函数参数及返回值的传递，超过4个参数，其它参数存在栈中，在arm中栈是向下生长的，r0还可以作为返回值。
　　r4-r6, r8,r10-r11:　没有特殊规定，就是普通的通用寄存器
　　r7:　　　　　　　　　　栈帧指针，指向母函数与被调用子函数在栈中的交界。
　　r9:　　　　　　　　　　在ios3.0被操作系统保留
　　r12:　　　　　　　　　内部过程调用寄存器，动态链接时会用到，不必深究
　　r13:　　　　　　　　　sp(stack pointer)，是栈顶指针
　　r14:　　　　　　　　　lr(link register)，存放函数的返回地址。
　　r15:　　　　　　　　　pc(program counter)，指向当前指令地址。
　　cpsr:　　　　　　　　当前程序状态寄存器，在用户状态下存放像condition标志中断禁用等标志的。
　　另外还有vfp(向量浮点运算)相关的寄存器，不在列举。

三、常用汇编

　　助记符　　说明
　　adc　　带进位的加法
　　add　　加法
　　and　　逻辑与
　　b　　　 分支跳转，很少单独使用
　　bl 分支跳转，跳转后返回地址存入r14
　　bx 分支跳转，并切换指令模式（thumb/arm）
　　cmp 比较值，结果存在程序状态寄存器，一般用于分支判断
　　beq 结果为0则跳转
　　bne 结果不为0跳转
　　ldr 加寄存器，从内存加载到寄存器
　　ldrb 装载字节到寄存器
　　ldrh 装载半字到寄存器（一个字是32位）
　　lsl 逻辑左移这是一个选项，不是指令
　　lsr 逻辑右移这是一个选项，不是指令
　　mov 传送值/寄存器到一个寄存器
　　str 存储一个寄存器，寄存器值存到内存
　　strb 存储一个字节
　　strh 存储一个半字
　　sub 减法
　　push pop 堆栈操作

四、函数调用

　　函数的参数、局部变量、返回地址都在栈上存着，这部分栈上的内存称为栈帧。和r0~r15（不一定全部）、cpsr等一起构成了函数的运行环境。每一个函数系统都会分配一个栈帧，执行完成后系统自动收回。每个函数都以为r0~r15、cpsr等cpu相关寄存器为自己一人享有，所以要做一些必要操作。

　　举个例子：假设a调用b时，那么a要保存自己的运行环境（保存现场），b执行完后，要恢复a的运行环境（恢复现场）；另外a还可以通过r0—r4来传递参数，参数超过4个可以通过栈，b返回时可以通过r0传递返回值。其中主要涉及的就是栈的操作和寄存器的操作。下图为函数调用前后栈的布局，左边为调用前，右边为调用后，当b返回时应回到左边状态（a调用b之前的状态，就像没有调用b一样）。

　　在上图中，一个栈帧除了已经提到的参数区域(parameter area)、链接区域(linkage area)、局部变量存储区(local storage area)外还有栈帧指针存放区域(saved frame pointer)、寄存器存储区(saved registers area)，栈帧寄存器就不再解释，寄存器存储区：保存非易失寄存器（r4,r5,r6,r8,r10,r11）,后面的汇编代码例子会介绍。

　　开始调用（现场保护）：

　　1）lr入栈；

　　2）r7入栈，包存要恢复的寄存器入栈；

　　3）r7 = sp地址；

　　4）将callee会修改且在返回caller时需要恢复的寄存器入栈；

　　5）分配栈空间给子程序使用。

　　下图为汇编代码（使用hopper disassemble反编译的代码），分析如下：

　　第一行：将lr, r7, r4-r6入栈；

　　第二行：r7=sp-0xc（指向old r7），之所以减去0xc因为push后，r4，r5，r6占去12个字节；

　　第三行：保存要恢复的寄存器；

　　第四行：给当前函数开辟栈空间。

　　函数返回（恢复现场）：

　　1）释放栈空间；

　　2）恢复所保存的寄存器；

　　3）恢复r7；

　　4）将之前存放的lr从栈上弹出到pc，这样函数就返回了。

　　下图为汇编代码（使用hopper disassemble反编译的代码），分析如下：

　　第一行：释放栈空间；

　　第二行：恢复保存的寄存器；

　　第三行：恢复保存的寄存器，恢复r7，将之前存放的lr从栈上弹出到pc。