macOS - 他のアプリケーションライブラリコードの一部を読み込み、オフセットを取得するために逆アセンブルする

Question

私のアプリケーションは、ポインタを取得するために他のアプリケーションメモリを読み込んでいます。私は最初にアプリケーション自体で作業を開始するために静的ライブラリからのオフセットを読み取る必要があります。

いくつかのdylibの関数には、ポインタ "0x41b1110"へのオフセットが含まれています。このオフセットは手動で使用すると機能することがわかりますが、メモリから読み込みを単純にすると、 SomeAddressXをuint64_tとしてアドレス指定すると、0x41b1110と等しくないばかばかしいアドレスが得られます。私が得たものは、この命令だけです。次に、私はバイト配列としてこれを読んでみました。このバイト配列は、このアドレスのプレーンバイナリからバイト配列に等しいものでした。私は単純に "0x41b1110"を完全に読んでいないのでしょうか？バイトコードをx64命令に逆アセンブルしてからアドレスを取得するために解析する必要がありますか、それともよりスマートな方法ですか？私はあまり経験がありません。

SomeAddressX - rax, qword [ds:0x41b1110] 

例のバイトコード命令を追加する

が

48 8D 05 6F D9 99 00 

最初の3 48 8D 05はlea rax, qwordように見えますが、他の部分6F D9 99 00が01 04 37 40 (0x1043740)のように見ていない与え

lea  rax, qword [ds:0x1043740] 

？

Answer 1

それは、x64だとPIC（位置独立コード）を施行OSX上のコード（それはASLRを使用しているとして、非PIC実行可能ファイルを許可していません）。

このように分解すると、重要な情報が表示されなくなります。その命令の本質は、（BAのDUMのTS）、ここで明らかにされています

lea rax,[rip+0x99d96f] 

比較的、それのデータに対処するために、現在の命令ポインタripを使用しています。

0x1043740は、addressOfInstruction + 7 + 0x99d96fの結果です。

0x99d96fの部分は、バイトコード自体にはっきりと見えます。

+7は命令のオペコードサイズです。今、私は100％確信しているわけではありませんので、あなたも "addressOfInstruction"を知っているように、あなた自身の数学をしてください。

デバッガオプションをチェックして、アブソリュートアブソリュートメモリ表示とtrue rip+offset逆アセンブリを切り替えることができるかどうかを確認してください。