基于戴铭老师给出的objc_msgSend监听方案，对其中核心的汇编实现进行解析
监听代码
void before_objc_msgSend(id self, SEL _cmd, uintptr_t lr) {
push_call_record(self, object_getClass(self), _cmd, lr);
}
uintptr_t after_objc_msgSend() {
return pop_call_record();
}
//replacement objc_msgSend (arm64)
// https://blog.nelhage.com/2010/10/amd64-and-va_arg/
// http://infocenter.arm.com/help/topic/com.arm.doc.ihi0055b/IHI0055B_aapcs64.pdf
// https://developer.apple.com/library/ios/documentation/Xcode/Conceptual/iPhoneOSABIReference/Articles/ARM64FunctionCallingConventions.html
#define call(b, value) \
__asm volatile ("stp x8, x9, [sp, #-16]!\n"); \
__asm volatile ("mov x12, %0\n" :: "r"(value)); \
__asm volatile ("ldp x8, x9, [sp], #16\n"); \
__asm volatile (#b " x12\n");
#define save() \
__asm volatile ( \
"stp x8, x9, [sp, #-16]!\n" \
"stp x6, x7, [sp, #-16]!\n" \
"stp x4, x5, [sp, #-16]!\n" \
"stp x2, x3, [sp, #-16]!\n" \
"stp x0, x1, [sp, #-16]!\n");
#define load() \
__asm volatile ( \
"ldp x0, x1, [sp], #16\n" \
"ldp x2, x3, [sp], #16\n" \
"ldp x4, x5, [sp], #16\n" \
"ldp x6, x7, [sp], #16\n" \
"ldp x8, x9, [sp], #16\n" );
#define link(b, value) \
__asm volatile ("stp x8, lr, [sp, #-16]!\n"); \
__asm volatile ("sub sp, sp, #16\n"); \
call(b, value); \
__asm volatile ("add sp, sp, #16\n"); \
__asm volatile ("ldp x8, lr, [sp], #16\n");
#define ret() __asm volatile ("ret\n");
__attribute__((__naked__))
static void hook_Objc_msgSend() {
// Save parameters.
save()
__asm volatile ("mov x2, lr\n");
__asm volatile ("mov x3, x4\n");
// Call our before_objc_msgSend.
call(blr, &before_objc_msgSend)
// Load parameters.
load()
// Call through to the original objc_msgSend.
call(blr, orig_objc_msgSend)
// Save original objc_msgSend return value.
save()
// Call our after_objc_msgSend.
call(blr, &after_objc_msgSend)
// restore lr
__asm volatile ("mov lr, x0\n");
// Load original objc_msgSend return value.
load()
// return
ret()
}
单个指令解析
完整armv8指令集、ARM64汇编基础(不过里面说sp是x31不置可否)，ARM64中STP允许使用非连续寄存器
- BLR/BL
B和BL分别代表无返回跳转和有返回跳转，有返回的意思就是会存LR，所以BL中的L可理解为LR的意思，无返回的跳转一般是方法内的跳转，比如while, if else等
如subroutine calls中所述，这里使用它来跳转到orig_objc_msgSend 或者 after_objc_msgSend中，都通过预先将跳转目的函数地址加载到X12
- STP
STP指令中的P看起来代表的是pair，即寄存器对的意思，相对的是STR指令
将寄存器内容存储到内存中, stp x8, x9, [sp, #-16]! 是将x8,x9存入sp-16的位置并sp-16写回sp
参见 4.5 Load/Store Addressing Modes -> pre-indexed/post-indexed
- LDP
将指定内存处数据加载到寄存器 - "mov x12,%0\n" :: "r"(&before_objc_msgSend)
这种写法是内联汇编的写法，内联汇编主要解决的问题是并不知道要使用和变量存放在内存还是寄存器
等的具体信息时使用的写法GCC内联汇编
这里"r"为操作数限定符，意思是操作数是通用寄存器，%0代表第0个输入或者输出，这里只有一个输入，即"r"(&before_objc_msgSend)
效果相当于
mov x13,&before_objc_msgSend
mov x12,x13
- mov lr, x0
这里将lr恢复成hook_Objc_msgSend刚进入时的值，因为两次blr均会修改lr的值，而after_objc_msgSend会将hook_Objc_msgSend原始lr值通过返回值返回回来，它是8个字节，会通过x0寄存器返回回来 - RET
ret指令的作用是跳转到lr指示的地址去执行BL/RET指令
为什么可以将参数无缝地传递给objc_msgSend
根据objc_msgSend的汇编实现, objc_msgSend的一个重要使命就是不改变寄存器及栈上参数的内容，让目标方法完整地接收所有参数，像直接调用了它们一样
hook_Objc_msgSend原理也一样，本身使用汇编实现，不进行压fp,lr入栈的操作，让orig_objc_msgSend完整地接收所有输入参数，也相当于让目标方法完整地接收了目标参数