crash反解析原理

一、.dSYM
.dSYM(debugging SYMbols)又称为调试符号表，是苹果为了方便调试和定位问题而使用的一种调试方案，本质上使用的是起源于贝尔实验室的DWARF（Debugging With Attributed Record Formats），其在.xcarchive目录中的层次结构为：

.xcarchive
--dSYMs
|--Your.app.dSYM
    |--Contents
        |--Resources
            |--DWARF

二、确定符号表和崩溃日志的一致性

xcrun dwarfdump --uuid /Users/wuwei/Desktop/xxxx.app.dSYM

crash文件： Binary Images模块，其第一行内容

11RopIZJI18_07_00__02_02_2019.jpg

三、计算崩溃符号表地址

xxxxx 0x00000001004006fc 0x1000cc000 + 3360508

应用崩溃发生在运行时地址0x00000001004006fc，该进程的运行时起始地址是0x1000cc000，崩溃处距离进程起始地址的偏移量为十进制的3360508(对应十六进制为0x3346fc)。三者对应关系：

0x00000001004006fc = 0x1000cc000 + 0x3346fc
4299163388 = 4295802880 + 3360508
运行崩溃时堆栈地址 = 运行时起始地址 + 偏移量

崩溃堆栈中的起始地址和崩溃地址均为运行时地址，根据虚拟内存偏移量不变原理，只要提供了符号表TEXT段的起始地址，再加上偏移量（这里为0x3346fc）就能得到符号表中的堆栈地址，即：

符号表堆栈地址 = 符号表起始地址 + 偏移量

获取符号表中的TEXT段起始地址

图片 1.png

$otool -l xxxxx.app.dSYM/Contents/Resources/DWARF/xxxxx
其中的vmaddr 0x00004000字段即为TEXT段的起始地址。由上面的公式可得：

0x3386fc = 0x00004000 + 0x3346fc
符号表堆栈地址 = 符号表起始地址 + 偏移量

即符号表中的崩溃地址为0x3386fc，接下来就可以根据这个地址解析出崩溃位置了。

四、崩溃信息还原
崩溃地址的解析方式
dwarfdump命令：

  dwarfdump --arch=arm64 --lookup=[崩溃日志上项目对应的某崩溃地址] [dSYM文件的绝对路径]

$dwarfdump --arch arm64 xxxxx.app.dSYM --lookup 0x3386fc

atos已经封装了地址寻找，命令格式如下：
atos -o xxxxx.app.dSYM/Contents/Resources/DWARF/xxxxx -arch arm64 -l 0x1000cc000 0x00000001004006fc