iOS逆向实战--003:状态寄存器

CPU内部的寄存器中,有一种特殊的寄存器(对于不同的处理器,个数和结构都可能不同)。这种寄存器在ARM中,被称为状态寄存器就是CPSRcurrent program status register)寄存器。

CPSR和其他寄存器不一样,其他寄存器是用来存放数据的,都是整个寄存器具有一个含义。而CPSR寄存器是按位起作用的,也就是说,它的每一位都有专门的含义,记录特定的信息。

CPSR寄存器是32位

  • CPSR低8位(包括IFTM[4:0])称为控制位,程序无法修改。除非CPU运行于特权模式下,程序才能修改控制位
  • NZCV均为条件码标志位。它们的内容可被算术或逻辑运算的结果所改变,并且可以决定某条指令是否被执行。意义重大

案例:

改变cpsr寄存器的值,代码执行流程也会跟随改变

打开ViewController.m文件,写入以下代码:

#import "ViewController.h"

@implementation ViewController

void funcB(int a, int b){
   
   if(a == b){
       printf("a == b");
   }
   else{
       printf("error");
   }
}

- (void)viewDidLoad {
   funcB(10, 20);
}

@end

真机运行项目,使用断点单步调试,来到funcB函数

  • cmp指令和b.ne指令搭配使用
  • cmp w8, w9:比较w8w9的值
  • b.ne指令,有条件的跳转

原本代码流程:funcB函数的ab两个参数,分别传入1020。此时w8 ≠ w9,执行b.ne指令,应该跳转到标号处

b.ne指令的跳转,和cpsr寄存器有关

cpsr寄存器的值为0x80000000,将0x8转为二进制1000。将首位1右移一位,变为0100,十六进制位0x4

使用register write命令,改变cpsr寄存器的值为0x40000000

向下执行1步,没有跳转到b.ne指令的标号处,而是向下继续执行了代码

原本传入的ab参数,它们的值完全不一样。但由于cpsr寄存器被改变,导致代码执行流程跟随改变

N(Negative)标志

CPSR的第31位是N,符号标志位。它记录相关指令执行后,其结果是否为负。如果为负N = 1,如果是非负数N = 0

ARM64的指令集中,有的指令在执行时影响状态寄存器,例如:add\sub\or等,它们大都是运算指令(进行逻辑或算数运算)

案例:

改变N标志位

打开ViewController.m文件,写入以下代码:

#import "ViewController.h"

@implementation ViewController

void funcB(int a, int b){
   asm(
       "mov w0,#0x0\n"
       "adds w0,w0,#-0xff\n"
   );
}

- (void)viewDidLoad {
   funcB(10, 20);
}

@end

向下执行1步,将#0x0写入w0

  • cpst0x40000000,此时N标志位为0

向下执行1步,w0加等#-0xff

  • cpst0x80000000,此时N标志位为1

ARM64中,add加法不带进位,而adds带进位的。subsubs是做减法,用法类似。如果指定了s,则这些指令将会根据结果来更新NZCV标记

Z(Zero)标志

CPSR的第30位是Z0标志位。它记录相关指令执行后,其结果是否为0。如果结果为0,那么Z = 1。如果结果不为0,那么Z = 0

对于Z的值,我们可以这样来看,Z标记相关指令的计算结果是否为0。如果为0,则Z要记录下是0这样的肯定信息。在计算机中1表示逻辑真,表示肯定。所以当结果为0的时候Z = 1,表示结果是0。如果结果不为0,则Z要记录下不是0这样的否定信息。在计算机中0表示逻辑假,表示否定。所以当结果不为0的时候Z = 0,表示结果不为0

案例:

改变Z标志位

打开ViewController.m文件,写入以下代码:

#import "ViewController.h"

@implementation ViewController

void funcB(int a, int b){
   asm(
       "mov w0,#0x0\n"
       "adds w0,w0,#0x1\n"
   );
}

- (void)viewDidLoad {
   funcB(10, 20);
}

@end

向下执行1步,将#0x0写入w0

  • cpst0x40000000,此时N标志位为0Z标志位为1

向下执行1步,w0加等#0x1

  • cpst0x00000000,此时N标志位为0Z标志位为0

计算结果为1,结果为非负数,所以N标志位为0。结果不为零,所以Z标志位为0

C(Carry)标志

CPSR的第29位是C,进位标志位。一般情况下,进行无符号数的运算

  • 加法运算:当运算结果产生了进位时(无符号数溢出),C=1,否则C=0
  • 减法运算(包括CMP):当运算时产生了借位时(无符号数溢出),C=0,否则C=1

对于位数为N的无符号数来说,其对应的二进制信息的最高位,即第N - 1位,就是它的最高有效位,而假想存在的第N位,就是相对于最高有效位的更高位

进位

我们知道,当两个数据相加的时候,有可能产生从最高有效位想更高位的进位。例如:两个32位数据,0xaaaaaaaa + 0xaaaaaaaa,将产生进位。由于这个进位值在32位中无法保存,我们就只是简单的说这个进位值丢失了。其实CPU在运算的时候,并不丢弃这个进位制,而是记录在一个特殊的寄存器的某一位上。ARM下就用C位来记录这个进位值

案例:

打开ViewController.m文件,写入以下代码:

#import "ViewController.h"

@implementation ViewController

void funcB(int a, int b){
   asm(
       "mov w0,#0xaaaaaaaa\n"
       "adds w0,w0,w0\n"
       "adds w0,w0,w0\n"
       "adds w0,w0,w0\n"
       "adds w0,w0,w0\n"
   );
}

- (void)viewDidLoad {
   funcB(10, 20);
}

@end

向下执行1步,将#0xaaaaaaaa写入w0

  • cpst0x40000000,此时N标志位为0Z标志位为1C标志位为0

向下执行1步,w0加等#0xaaaaaaaa

  • w00x55555554,因为0xaaaaaaaa + 0xaaaaaaaa结果溢出
  • cpst0x30000000,此时N标志位为0Z标志位为0C标志位为1

向下执行1步,w0加等#0x55555554

  • w00xaaaaaaa8
  • cpst0x90000000,此时N标志位为1Z标志位为0C标志位为0

向下执行1步,w0加等#0xaaaaaaa8

  • w00x55555550,因为0xaaaaaaa8 + 0xaaaaaaa8结果溢出
  • cpst0x30000000,此时N标志位为0Z标志位为0C标志位为1

向下执行1步,w0加等#0x55555550

  • w00xaaaaaaa0
  • cpst0x90000000,此时N标志位为1Z标志位为0C标志位为0
借位

当两个数据做减法的时候,有可能向更高位借位。例如:两个32位数据:0x00000000 - 0x000000ff,将产生借位。借位后,相当于计算0x100000000 - 0x000000ff。得到0xffffff01这个值。由于借了一位,所以C位用来标记借位

案例:

打开ViewController.m文件,写入以下代码:

#import "ViewController.h"

@implementation ViewController

void funcB(){
   asm(
       "mov w0,#0x0\n"
       "subs w0,w0,#0xff\n"
       "subs w0,w0,#0xff\n"
       "subs w0,w0,#0xff\n"
   );
}

- (void)viewDidLoad {
   funcB();
}

@end

向下执行1步,将#0x0写入w0

  • cpst0x40000000,此时N标志位为0Z标志位为1C标志位为0

向下执行1步,w0减等#0xff

  • w00xffffff01,因为#0x0 - #0xff,结果溢出
  • cpst0x80000000,此时N标志位为1Z标志位为0C标志位为0

向下执行1步,w0减等#0xff

  • w00xfffffe02
  • cpst0xa0000000,此时N标志位为1Z标志位为0C标志位为1

向下执行1步,w0减等#0xff

  • w00xfffffd03
  • cpst0xa0000000,此时N标志位为1Z标志位为0C标志位为1
V(Overflow)溢出标志

CPSR的第28位是V,溢出标志位。在进行有符号数运算的时候,如果超过了机器所能标识的范围,称为溢出

  • 正数 + 正数 = 负数,溢出V = 1。否则V = 0
  • 负数 + 负数 = 正数,溢出V = 1。否则V = 0
  • 正数 + 负数,在同等宽度下,不可能溢出

案例1:

正数 + 正数 = 负数

打开ViewController.m文件,写入以下代码:

#import "ViewController.h"

@implementation ViewController

void funcB(){
   asm(
       "mov w0,#0xaaaaaaaa\n"
       "adds w0,w0,w0\n"
       "adds w0,w0,w0\n"
   );
}

- (void)viewDidLoad {
   funcB();
}

@end

向下执行1步,将#0xaaaaaaaa写入w0

  • cpst0x40000000,此时N标志位为0Z标志位为1C标志位为0V标志位为0

向下执行1步,w0加等#0xaaaaaaaa

  • w00x55555554,因为0xaaaaaaaa + 0xaaaaaaaa结果溢出
  • cpst0x30000000,此时N标志位为0Z标志位为0C标志位为1V标志位为1

向下执行1步,w0加等#0x55555554

  • w00xaaaaaaa8,因为0x55555554 + 0x55555554对于有符号数,结果溢出
  • cpst0x90000000,此时N标志位为1Z标志位为0C标志位为0V标志位为1

在计算过程中,底层无法得知当前是无符号数还是有符号数。运算时,C标志位按无符号数运算,而V标志位按有符号数运算

案例2:

负数 + 负数 = 正数

打开ViewController.m文件,写入以下代码:

#import "ViewController.h"

@implementation ViewController

void funcB(){
   asm(
       "mov w0,#-0x7fffffff\n"
       "adds w0,w0,w0\n"
   );
}

- (void)viewDidLoad {
   funcB();
}

@end

向下执行1步,将#-0x7fffffff写入w0

  • cpst0x40000000,此时N标志位为0Z标志位为1C标志位为0V标志位为0

向下执行1步,w0加等#-0x7fffffff

  • w00x00000002,因为#-0x7fffffff + #-0x7fffffff结果溢出
  • cpst0x30000000,此时N标志位为0Z标志位为0C标志位为1V标志位为1
总结

状态寄存器

  • 状态寄存器就是CPSR,也称之为标志寄存器
  • ARM64中,状态寄存器(cpsr)为32位
  • 最高4位28293031)为标志位

N标志

  • 负标记位
  • 执行结果为负数,N = 1。非负数,N = 0

Z标志

  • 0标记位
  • 结果为0Z = 1。结果非0Z = 0

C标志

  • 无符号数溢出
  • 加法:进位C = 1,否则C = 0
  • 减法:借位C = 0,否则C = 1

V标志

  • 有符号数溢出
  • 正数 + 正数 = 负数,溢出V = 1。否则V = 0
  • 负数 + 负数 = 正数,溢出V = 1。否则V = 0
  • 正数 + 负数,在同等宽度下,不可能溢出

汇编指令
subs指令:和sub指令相似,做减法。影响目标寄存器,同时影响状态寄存器
adds指令:和add指令相似,做加法。影响目标寄存器,同时影响状态寄存器

©著作权归作者所有,转载或内容合作请联系作者
  • 序言:七十年代末,一起剥皮案震惊了整个滨河市,随后出现的几起案子,更是在滨河造成了极大的恐慌,老刑警刘岩,带你破解...
    沈念sama阅读 214,837评论 6 496
  • 序言:滨河连续发生了三起死亡事件,死亡现场离奇诡异,居然都是意外死亡,警方通过查阅死者的电脑和手机,发现死者居然都...
    沈念sama阅读 91,551评论 3 389
  • 文/潘晓璐 我一进店门,熙熙楼的掌柜王于贵愁眉苦脸地迎上来,“玉大人,你说我怎么就摊上这事。” “怎么了?”我有些...
    开封第一讲书人阅读 160,417评论 0 350
  • 文/不坏的土叔 我叫张陵,是天一观的道长。 经常有香客问我,道长,这世上最难降的妖魔是什么? 我笑而不...
    开封第一讲书人阅读 57,448评论 1 288
  • 正文 为了忘掉前任,我火速办了婚礼,结果婚礼上,老公的妹妹穿的比我还像新娘。我一直安慰自己,他们只是感情好,可当我...
    茶点故事阅读 66,524评论 6 386
  • 文/花漫 我一把揭开白布。 她就那样静静地躺着,像睡着了一般。 火红的嫁衣衬着肌肤如雪。 梳的纹丝不乱的头发上,一...
    开封第一讲书人阅读 50,554评论 1 293
  • 那天,我揣着相机与录音,去河边找鬼。 笑死,一个胖子当着我的面吹牛,可吹牛的内容都是我干的。 我是一名探鬼主播,决...
    沈念sama阅读 39,569评论 3 414
  • 文/苍兰香墨 我猛地睁开眼,长吁一口气:“原来是场噩梦啊……” “哼!你这毒妇竟也来了?” 一声冷哼从身侧响起,我...
    开封第一讲书人阅读 38,316评论 0 270
  • 序言:老挝万荣一对情侣失踪,失踪者是张志新(化名)和其女友刘颖,没想到半个月后,有当地人在树林里发现了一具尸体,经...
    沈念sama阅读 44,766评论 1 307
  • 正文 独居荒郊野岭守林人离奇死亡,尸身上长有42处带血的脓包…… 初始之章·张勋 以下内容为张勋视角 年9月15日...
    茶点故事阅读 37,077评论 2 330
  • 正文 我和宋清朗相恋三年,在试婚纱的时候发现自己被绿了。 大学时的朋友给我发了我未婚夫和他白月光在一起吃饭的照片。...
    茶点故事阅读 39,240评论 1 343
  • 序言:一个原本活蹦乱跳的男人离奇死亡,死状恐怖,灵堂内的尸体忽然破棺而出,到底是诈尸还是另有隐情,我是刑警宁泽,带...
    沈念sama阅读 34,912评论 5 338
  • 正文 年R本政府宣布,位于F岛的核电站,受9级特大地震影响,放射性物质发生泄漏。R本人自食恶果不足惜,却给世界环境...
    茶点故事阅读 40,560评论 3 322
  • 文/蒙蒙 一、第九天 我趴在偏房一处隐蔽的房顶上张望。 院中可真热闹,春花似锦、人声如沸。这庄子的主人今日做“春日...
    开封第一讲书人阅读 31,176评论 0 21
  • 文/苍兰香墨 我抬头看了看天上的太阳。三九已至,却和暖如春,着一层夹袄步出监牢的瞬间,已是汗流浃背。 一阵脚步声响...
    开封第一讲书人阅读 32,425评论 1 268
  • 我被黑心中介骗来泰国打工, 没想到刚下飞机就差点儿被人妖公主榨干…… 1. 我叫王不留,地道东北人。 一个月前我还...
    沈念sama阅读 47,114评论 2 366
  • 正文 我出身青楼,却偏偏与公主长得像,于是被迫代替她去往敌国和亲。 传闻我的和亲对象是个残疾皇子,可洞房花烛夜当晚...
    茶点故事阅读 44,114评论 2 352

推荐阅读更多精彩内容