[原]逆向iOS SDK -- “添加本地通知”的流程分析
观点：
代码面前没有秘密
添加通知的 Demo 代码
- (void)scheduleOneLocalNotification {
[[UIApplication sharedApplication] cancelAllLocalNotifications];
UILocalNotification *localNotification = [[UILocalNotification alloc] init];
localNotification.alertBody = @"Proteas";
localNotification.fireDate = [[NSDate date] dateByAddingTimeInterval:300000];
[[UIApplication sharedApplication] scheduleLocalNotification:localNotification];
[localNotification release]; localNotification = nil;
}
问题
参考如上的 Demo，相应的系统API为：-[UIApplication scheduleLocalNotification:]
可以看到添加本地通知相对简单，但是我们要多问几个为什么：
1、接口背后发生了什么？
2、本地通知有64个限制，如何控制的？
3、... ...
Reverse UIKit
UIApplication 是UIKit中的类，所以我们首先逆向 UIKit。
UIKit 的路径为：
/Applications/Xcode.app/Contents/Developer/Platforms/iPhoneOS.platform/Developer/SDKs/iPhoneOS6.1.sdk/System/Library/Frameworks/UIKit.framework
用 Hopper Disassembler（or IDA） 打开这个库，Hopper 会开始反汇编、分析这个 MachO，待分析完毕后，可以看到如下界面：
scheduleLocalNotification的实现
这时我们查找 scheduleLocalNotification 的实现，在 Labels 下面的搜索框中输入 scheduleLocalNotification，Hopper 会查找出相关的实现，如下图：
在搜索出来的结果中点击第一个条目，右边窗口中会定位到实现的起始部分，如下图：
可以看到 scheduleLocalNotification: 的实现比较简单，只有 9 行汇编代码。
我们来分析下这几行代码：
|
1 movw r1, #0xf8c4 2 movt r1, #0x40 ;r1 = 0x40F8C4 3 movw r0, #0xc7be 4 movt r0, #0x41 ;r0 = 0x41C7BE 5 add r1, pc ;r1 = 0x5e5ec8 6 add r0, pc ;r0 = 0x5f2dc4 7 ldr r1, [r1] ;@selector(scheduleLocalNotification:)，a = *a 8 ldr r0, [r0] ;@bind__OBJC_CLASS_$_SBSLocalNotificationClient 9 b.w _objc_msgSend$shim |
1、Hopper 使用的 Intel 系列的汇编语法：“目的”在左，“源”在右。
2、ARM没有直接加载32位立即数的指令，而是使用movw与movt。
3、Call Frame
表：ARM ABI Register Usage
|
Register |
Brief |
Preserved |
Rules |
|
r0 |
Argument and result |
No |
r0 and r1 are used for passing the first two arguments to functions, and returning the results of functions. If a function does not use them for a return value, they can take any value after a function. |
|
r1 |
Argument and result |
No |
|
|
r2 |
Argument |
No |
r2 and r3 are used for passing the second two arguments to functions. There values after a function is called can be anything. |
|
r3 |
Argument |
No |
|
|
lr |
Return address |
No |
lr is the address to branch back to when a function is finished, but this does have to contain the same address after the function has finished. |
|
sp |
Stack pointer |
Yes |
sp is the stack pointer, described below. Its value must be the same after the function has finished. |
上面几行代码的功能是：call + [SBSLocalNotificationClient scheduleLocalNotification:]。
当读到这段代码的时候，有个疑问：0x40F8C4 是如何得到的？
在说明这个问题之前需要先说下 MachO 文件的格式，如下图：
Objective-C 被编译、链接后，代码、类、方法、类与方法间关系被放到不同 Section 中，也就是说：
上面的代码与scheduleLocalNotification: （selector）在不同的 Section 中，这样就可以计算地址之间的差值了：
0x40F8C4 = (CodeSectionStartAddress + Offset)
- (SelfRefSectionStartAddress + Offset)
因为 ASLR（Address Space Layout Randomization） 的存在，Section 的开始地址并不是固定的，也就是说差值并不总是0x40F8C4。
Reverse SpringBoardServices
scheduleLocalNotification的实现
搜索 SBSLocalNotificationClient，可以发现它是 SpringBoardServices中的类，
现在我们用同样的方法逆向 SpringBoardServices 库，如下图：
代码如下：
|
push {r4, r7, lr} add r7, sp, #0x4 sub sp, #0x8 movw r1, #0x875c mov r4, r0 movt r1, #0x0 movw r0, #0x8906 movt r0, #0x0 add r1, pc ; 0x13194 add r0, pc ; 0x13340 ldr r1, [r1] ; @selector(arrayWithObject:) ldr r0, [r0] ; @bind__OBJC_CLASS_$_NSArray blx imp___picsymbolstub4__objc_msgSend mov r2, r0 movw r0, #0x8748 movt r0, #0x0 movs r3, #0x0 add r0, pc ; 0x13198 ldr r1, [r0];@selector(_scheduleLocalNotifications:cancel:replace:optionalBundleIdentifier:) movs r0, #0x0 str r0, [sp] str r0, [sp, #0x4] mov r0, r4 blx imp___picsymbolstub4__objc_msgSend add sp, #0x8 pop {r4, r7, pc} |
上面是使用 Hopper 得到的汇编，
但是使用 GDB 调试程序，并进行反汇编后，发现两者不一致，
GDB 给出相对简单，此处以 GDB 为准。
|
状态说明： r0 = SBSLocalNotificationClient r1 = “scheduleLocalNotification:” r2 = UILocalNotification Instance
|
|
代码： mov r4, r0 ; r4 = SBSLocalNotificationClient movw r0, #34450 ; movt r0, #3577 ; movw, movt 加载32位立即数 movw r1, #34344 ; movt r1, #3577 ; 同上 movw r3, #34612 ; movt r3, #3577 ; 同上 add r1, pc ; 惯用法 add r0, pc ; 同上 add r3, pc ; 同上 ldr r1, [r1, #0] ; r1 = "arrayWithObject:" ldr r5, [r0, #0] ; r5 ="_scheduleLocalNotifications:cancel:replace:optionalBundleIdentifier:" ldr r0, [r3, #0] ; r0 = NSArray blx 0x3058faa4 ; [NSArray arrayWithObject:UILocalNotification] movs r3, #0 ; r3 = 0, movs 影响标志位的 zero 位, 0--->1 mov r1, r5 ; r1 ="_scheduleLocalNotifications:cancel:replace:optionalBundleIdentifier:" mov r2, r0 ; r2 = UILocalNotifications mov r0, r4 ; r4 = SBSLocalNotificationClient str r3, [sp, #0] ; 将 sp 指向的内存空间清零 str r3, [sp, #4] ; 将 sp + 4将 sp 指向的内存空间清零 blx 0x3058faa4 ; 调用 ;_scheduleLocalNotifications:UILocalNotifications ; cancel:NO ; replace:NO ; optionalBundleIdentifier:nil
; 平衡运行栈的代码参考 Hopper 给出的反汇编 |
结论：
+[SBSLocalNotificationClient scheduleLocalNotification:]调用：
+[SBSLocalNotificationClient
_scheduleLocalNotifications:本地通知实例数组
cancel:NO
replace:NO
optionalBundleIdentifier:nil]
_scheduleLocalNotifications......的实现
Hopper 反汇编：
GDB反汇编代码：
|
push {r4, r7, lr} ; add r7, sp, #4 ; sub sp, #12 ; movw r1, #34510 ; 0x86ce ; ldr.w r12, [r7, #8] ; movt r1, #3577 ; 0xdf9 ldr.w lr, [r7, #12] ; add r1, pc ; movs r4, #0 ; ldr r1, [r1, #0] ; stmia.w sp, {r12, lr} ; str r4, [sp, #8] ; blx 0x3058faa4 <dyld_stub_objc_msgSend> add sp, #12 ; pop {r4, r7, pc} ; nop |
这里主要是个参数值问题，不进行逐行分析了，
可以用调试得到结论，
在进行实际的调用前（红色代码），设置断点，打印出参数值：
得到相关参数：
r0 = SBSLocalNotificationClient
r1 = "_scheduleLocalNotifications:cancel:replace:optionalBundleIdentifier:waitUntilDone:"
r2 = 通知数组
r3 = 0, cancel
*(sp) = 0, waitUntilDone
*(sp + 4) = 0, optionalBundleIdentifier
*(sp +8) = 0, replace
结论：
+[SBSLocalNotificationClient
_scheduleLocalNotifications:本地通知实例数组
cancel:NO
replace:NO
optionalBundleIdentifier:nil]
调用：
+[SBSLocalNotificationClient
_scheduleLocalNotifications:本地通知实例数组
cancel:NO
replace:NO
optionalBundleIdentifier:nil
waitUntilDone:NO]
_scheduleLocalNotifications......waitUntilDone的实现
汇编代码，如下：
|
; Begin PUSH {R4-R7,LR} ADD R7, SP, #0xC ; R7此时指向栈参数的开始地址，参数入栈顺序：从右到左 PUSH.W {R8,R10,R11} ; 保存寄存器值，后续会进行修改 SUB SP, SP, #8 ; 开辟 sizeof(int) * 2的栈空间 MOVW R1, #(:lower16:(selRef_archivedDataWithRootObject_ - 0xA930)) MOV R8, R3 ; R8 = shouldCancle MOVT.W R1, #(:upper16:(selRef_archivedDataWithRootObject_ - 0xA930)) MOV R0, #(classRef_NSKeyedArchiver - 0xA932) ;classRef_NSKeyedArchiver ADD R1, PC ; selRef_archivedDataWithRootObject_ ADD R0, PC ; classRef_NSKeyedArchiver LDR R1, [R1] ; "archivedDataWithRootObject:" LDR R0, [R0] ; _OBJC_CLASS_$_NSKeyedArchiver BLX _objc_msgSend ; R2 = Notifications MOV R4, R0 ; R0 = NSData* LDR.W R11, [R7,#shouldReplace] ; R11 = shouldReplace LDR.W R10, [R7,#bundleIdentifier] ; R10 = bundleIdentifier CMP R4, #0 ; check if NSData* is nil BNE loc_A94C ; if NSData* != nil MOVS R5, #0 ; if (NSData* == nil) R5 = 0 MOV R6, R5 ; R6 = 0 B loc_A974 ; ----------------------------------------- loc_A94C: MOV R0, #(selRef_bytes - 0xA958) ; selRef_bytes ; R0 = NSData* ADD R0, PC ; selRef_bytes LDR R1, [R0] ; "bytes" MOV R0, R4 ; R0 = NSData* BLX _objc_msgSend ; [NSData* bytes] MOV R5, R0 ; R5 = void* of NSData MOV R0, #(selRef_length - 0xA96C) ; selRef_length ADD R0, PC ; selRef_length LDR R1, [R0] ; "length" MOV R0, R4 BLX _objc_msgSend ; [NSData* length] MOV R6, R0 ; R6 = length of NSData ; ----------------------------------------- loc_A974: BL _SBSSpringBoardServerPort MOV R4, R0 ; R4 = R0 = port number of server MOV R0, #(unk_F2DF - 0xA98A) TST.W R11, #0xFF ADD R0, PC BEQ loc_A9C0 ; check if bundleIdentifier is nil CMP.W R10, #0 BEQ loc_A9A2 ; R1 = should wait until done MOV R0, #(selRef_UTF8String - 0xA99C) ; selRef_UTF8String ADD R0, PC ; selRef_UTF8String LDR R1, [R0] ; "UTF8String" MOV R0, R10 BLX _objc_msgSend ; ----------------------------------------- loc_A9A2: LDR R1, [R7,#shouldWait] ; R1 = should wait until done MOV R2, R6 UXTB R3, R1 MOV R1, R5 ; void * of NSData STR R3, [SP,#0x20+var_20] UXTB.W R3, R8 STR R0, [SP,#0x20+var_1C] MOV R0, R4 ; port number of the server BL _SBScheduleLocalNotificationsBlocking ; ----------------------------------------- loc_A9B8: ADD SP, SP, #8 POP.W {R8,R10,R11} POP {R4-R7,PC} ; ----------------------------------------- loc_A9C0: CMP.W R10, #0 ; check if bundleIdentifier is nil BEQ loc_A9D8 ; R0 points to the UTF8String of appbundleIdentifier MOV R0, #(selRef_UTF8String - 0xA9D2) ; selRef_UTF8String ADD R0, PC ; selRef_UTF8String LDR R1, [R0] ; "UTF8String" MOV R0, R10 BLX _objc_msgSend ; ----------------------------------------- loc_A9D8: LDR R1, [R7,#shouldWait] ; R0 points to the UTF8String of appbundleIdentifier MOV R2, R6 UXTB R3, R1 MOV R1, R5 ; void * of Notification NSData STR R3, [SP,#0x20+var_20] UXTB.W R3, R8 STR R0, [SP,#0x20+var_1C] MOV R0, R4 ; Port Number Of the XPC Server BL _SBScheduleLocalNotifications B loc_A9B8 ; End
|
伪代码的实现，如下：
|
-(void)_scheduleLocalNotifications:(id)notifications cancel:(BOOL)cancel replace:(BOOL)replace optionalBundleIdentifier:(id)bundleID waitUntilDone:(BOOL)wait { id data = [NSKeyedArchiver archivedDataWithRootObject:notifications]; if (data != nil) { bytes = [data bytes]; length = [data length]; } else { bytes = 0; length = 0; } port = _SBSSpringBoardServerPort(); if (wait == NO) { if (bundleID) { var_1C = [bundleID UTF8String]; } var_20 = replace; r2 = length; r3 = cancel; SBScheduleLocalNotifications(/*int*/ port, /*src*/ bytes); return; } if (bundleID != nil) { var_1C = [bundleID UTF8String]; } var_20 = replace; r2 = length; r3 = cancel; SBScheduleLocalNotificationsBlocking(/*int*/ port, /*src*/ bytes); return; } |
上述代码的主要功能为：将通知进行序列化，然后调用本期通知的服务。
后续有时间再分析 SpringBoard 的通知服务部分，
需要说明的是：在对 SpringBoard 进行逆向分析前，需要去除其 ASLR。
