iOS逆向：用Xcode直接调试第三方app

一般动态调试app时，都是在终端里用lldb直接调试，但是用Xcode的Attach to Process也可以连接到真机上的进程进行调试。但是只能调试用自己的证书签名的app。

在Xcode上调试的优点：

• 有UI界面，查看堆栈更直接，可以用Xcode打断点。
• 可以使用debug gauges里的Disk和Network等工具。
• 输入lldb命令时有自动补全。
• 可以使用Xcode的Debug UI Hierarchy功能，直接查看app的界面布局。
• 可以使用Xcode的Debug Memory Graph功能，查看当前内存中存在的所有对象，以及对象之间的引用关系。

步骤如下。

1.重签名需要逆向的app

重签名后才能用Xcode attach。而重签名前需要对app进行砸壳。这些步骤就不再重复了。

额外说一句，在砸壳后建议进行一下恢复符号表的操作。恢复符号表后，在调试时就能直接在堆栈中看到方法名，免去了计算偏移量然后在hopper里查找的麻烦。参考：iOS符号表恢复&逆向支付宝, restore-symbol。

2.Attach to Process

重签名后安装到越狱设备上，启动app，在Xcode中随便打开一个工程，选择越狱设备，就可以在Debug->Attach to Process中找到正在运行的进程名和进程id，点击后就会开始连接。大概过1分钟就会连接上。

3.查看UI

连接上后，就可以点击使用Xcode的Debug UI Hierarchy来查看界面布局：

UI Hierarchy

注意，Debug UI Hierarchy对Xcode版本似乎有要求，在调试重签名app时，Xcode8.3.2可以，而Xcode8.2就没有这个功能按钮。

4.查看内存信息

点击Debug Memory Graph按钮，可以查看当前内存中存在的数据。打印地址，查看引用关系，可以配合malloc stack进行追踪。如果打开了malloc stack，就可以直接在右边显示这个对象的创建堆栈。开启方法参考：iOS逆向：在任意app上开启malloc stack追踪内存来源

Memory Graph

5.查看正在使用的文件

debug gauges中的Disk工具可以查看app当前打开的文件。

Open Files

6.instrument调试

类似的，也可以用instrument调试重签名后的app，不过并不是所有工具都可以使用，对逆向的帮助不大。