状态寄存器

概述

状态寄存器又称cpsr，是cpu运算器的一部分。主要存放两类信息：

1、存放当前指令执行结果的各种状态或条件码，结果是否为负、是否为0、是否进位、是否溢出；
2、存放控制信息，有终端标志位、跟踪标志位。

cpsr寄存器为32位寄存器，低8位为控制位，高4位为条件标志位。具体功能如下：

位数	标识	描述
31	N	符号标志位 当两个有符号整数运算时，结果为负N=1，结果为正N=0
30	Z	零标志位 表示运算结果是否为零，如果为零 Z=1，不为零Z=0
29	C	进位标志位 ①加法运算中，产生进位C=1，否则C=0； ②减法运算中，产生借位C=0，否则C=1
28	V	溢出标志位 有符号数据运算中，超出机器所能识别的范围，称为溢出。 正+正=负 溢出、负+负=正 溢出、正+负=正/负（不可能溢出）
27~8	保留位
7	I	中断禁止标志位 I=1时禁止IRQ中断
6	F	快速中断禁止标志位 F=1时禁止FIQ中断
5	T	控制标志位 T=0表示执行ARM指令 T=1表示执行Thumb指令
4~0	M4~M0	M控制位 可访问的寄存器，处理器模式

以上标志位，在逆向中我们只关注NZCV标志位即可，其他标志位相对底层，在单片机开发中比较常见，如51单片机中NZCV位都有，只是位置不一样，M位确定定时器模式（13位、16位计数器）。

标志位验证

上面是CPU相关文档中对寄存器的描述，下面验证一下寄存器值是否和描述一致。

创建一个iOS的App工程，在主函数main()中增加一个判断条件并输出打印，在条件判断出下断点。代码如下：

int main(int argc, char * argv[]) {
    int arg1 = 1.0;
    int arg2 = 2.0;
    if (arg1 == arg2) {
        NSLog(@"相等");
    } else {
        NSLog(@"不相等");
    }
}

使用真机运行，因为真机和模拟器使用的不是一套指令集，不便于我们验证。断点后查看标志位（General Purpose Registers）：

if1.png

• 可以在Xcode上查看寄存器值，也可以使用register read cpsr指令来读取cpsr寄存器的值
• 上图断点停留在ldr指令处，还没有到判断指令，此时查看到cpsr的高位为6即0110，N标志位为0
• subs w8, w8, w9指令进行减运算，从上面指令可知w8=1，w9=2相减得-1，结果赋值到w8寄存器，此时，出现一个减法运算，结果为负出现借位，并且不为零，不存在溢出，所有可以提前判断高位NZCV为1000
• b.ne为判断跳转指令，判断w8和w9是否不相等，如果不相等跳转至0x1008a22d4地址指令处执行（实际上是判断Z（零标志位）是否为零，为零相等，不为零不相等。两个相同整数相减结果为零）

相关b指令：

指令	描述
bl	跳转到指定地址处执行，函数调用
b.lt	比较结果是小于（less than），跳转指定地址执行，否则不跳转
b.le	比较结果是小于等于（less than or equal to），跳转指定地址执行，否则不跳转
b.gt	比较结果是大于（greater than），跳转指定地址执行，否则不跳转
b.ge	比较结果是大于等于（greater than or equal to），跳转指定地址执行，否则不跳转
b.eq	比较结果是等于(equal to)，跳转指定地址执行，否则不跳转
b.ne	不叫结果是不等于(not equal to)，跳转指定地址执行，否则不跳转
b.hi	比较结果是无符号大于，跳转指定地址执行，否则不跳转

单步向下执行到b.ne 0x1008a22d4指令处，查看寄存器值如下：

if2.png

• 结果为0x80000000即高位为1000符合预期，此时指令将跳转到0x1008a22d4处，也就是输出“不相等”

上面到了判断是否不相等的位置，还没有执行该判断指令，理论上是会打印“不相等”。这里可以尝试修改该寄存器的值让其相等，看看打印结果是否为“相等”。也就是Z标志位为1，其他标志位为0，即高位为0100也就是0x40000000，下面看下修改结果是否符合预期。结果如下：

if3.png

• 打印相等符合预期，通过修改状态寄存器值，改变了程序的正常执行流程
• 最后cpsr寄存器为0x60000000，对应高位0110，C位变为1，主要原因执行了add x0, x0, #0x68指令，加法指令出现进位C=1

总结

状态寄存器控制着程序的执行流程，那么在逆向中我们可以通过修改状态寄存器的值，使一些关键判断条件无效，来绕过程序中对外的限制。如：破解反逆向、给自己开一个超级会员。