[原创] IOS Chomper 修炼笔记-iOS安全-看雪安全社区｜专业技术交流与安全研究论坛

[TOC]

---

# 前言

Chomper 可以视为 iOS 环境下的 Unidbg 替代方案，采用 Python 语言开发。

笔者在寻找相关学习资料的过程中，发现 Chomper 的技术文档相对匮乏。因此我决定深入研究其源码，并整理出这套 《 IOS Chomper 修炼笔记 》，希望能与各位技术爱好者共同探讨和学习。

---

# 安装和测试

## 安装 Chomper

```shell
$ git clone https://github.com/sledgeh4w/chomper ; cd chomper
$ pip install .
```

![](upload/attach/202508/982645_KPXQZ9DEA3ZCUS8.webp)

## 运行案例

打开 Pycharm 将 项目导入，然后设置源代码根目录

- 右键点击 src 目录
  - 选择 "Mark Directory as" → "Sources Root"

- 右键点击 tests 目录
  - 选择 "Mark Directory as" → "Test Sources Root"

设置完以后找到 `chomper/examples/objc.py` 便可以点击运行直接执行了，也可以参考着修改下面的代码后再运行

![](upload/attach/202508/982645_6WC4W2VFJBSM6BG.webp)

---

# bangbang.py 源码分析
`bangbang.py`  是 Chomper 提供的一个案例，源码如下（密文部分省略了很大一截）

```python
import logging
import os

from chomper import Chomper
from chomper.const import ARCH_ARM64, OS_IOS
from chomper.objc import ObjcRuntime

from utils import get_base_path, download_sample_file

log_format = "%(levelname)s: %(message)s"
logging.basicConfig(
    format=log_format,
    level=logging.INFO,
)

logger = logging.getLogger()

def main():
    base_path = get_base_path()
    binary_path = "examples/binaries/ios/com.ceair.b2m/ceair_iOS_branch"

# Download sample file
    download_sample_file(binary_path)

emu = Chomper(
        arch=ARCH_ARM64,                # 架构
        os_type=OS_IOS,                 # 操作系统类型
        rootfs_path=os.path.join(base_path, "../../rootfs/ios"),
        enable_ui_kit=True,
    )
    objc = ObjcRuntime(emu)

emu.load_module(os.path.join(base_path, "../..", binary_path))

bang_safe_sdk_class = objc.find_class("BangSafeSDK")

with objc.autorelease_pool():
        # Encrypt
        encrypt_input = objc.create_ns_string('S{"osVersion":"14.2.1","os":"iOS","deviceModel":"iPhone","channelNo":"APPSTORE"}')

encrypt_result = bang_safe_sdk_class.call_method("checkcode:dataStyle:", encrypt_input, 2)
        encrypt_result_str = emu.read_string(objc.msg_send(encrypt_result, "UTF8String"))

logger.info("Encrypt result: %s", encrypt_result_str)

# Decrypt （下面这个密文省略了很大一部分）
        decrypt_input = objc.create_ns_string("F5usBNAQFKA6GVTwxynosqc...MQhHYDNfa/VU2UGk6KzHdHpTfZVQzQICg==")

decrypt_result = bang_safe_sdk_class.call_method("decheckcode:", decrypt_input)
        decrypt_result_str = emu.read_string(objc.msg_send(decrypt_result, "UTF8String"))

logger.info("Decrypt result: %s", decrypt_result_str)

if __name__ == "__main__":
    main()

```

## 源码分析

一、配置全局日志设置，包括定义输出格式和日志级别，并获取日志处理器。

```python
log_format = "%(levelname)s: %(message)s"
logging.basicConfig(
    format=log_format,
    level=logging.INFO,
)

logger = logging.getLogger()
```

二、如果示例所需的二进制和 plist 文件不存在，则下载

```python
    base_path = get_base_path()
    binary_path = "examples/binaries/ios/com.ceair.b2m/ceair_iOS_branch"

# Download sample file
    download_sample_file(binary_path)
```

三、初始化模拟器

```python
  emu = Chomper(
      arch=ARCH_ARM64,		
      os_type=OS_IOS,
      rootfs_path=os.path.join(base_path, "../../rootfs/ios"),   # 指定模拟所需的系统文件路径
      enable_ui_kit=True,
  )
```

四、创建 OC 运行时对象

```python
objc = ObjcRuntime(emu)
```

五、加载二进制

```python
emu.load_module(os.path.join(base_path, "../..", binary_path))
```

六、寻找 OC类

```python
bang_safe_sdk_class = objc.find_class("BangSafeSDK")
```

七、确保 OC 对象能正确被释放

```python
# with 关键字 会自动管理资源
# objc.autorelease_pool() 是自定义的管理资源方式

with objc.autorelease_pool():
```

八、创建 NSString 对象

```python
encrypt_input = objc.create_ns_string('S{"osVersion":"14.2.1","os":"iOS","deviceModel":"iPhone","channelNo":"APPSTORE"}')
```

九、调用 OC 方法

```python
encrypt_result = bang_safe_sdk_class.call_method("checkcode:dataStyle:", encrypt_input, 2)
```

> 	**注意：ObjcClass 的`call_method` 方法是对 ObjcType（ObjcClass 的父类） 的 `msgSend` 方法进行了一层封装**

十、读取 NSString 字符串的值

`NSString` 的 `UTF8String()` 方法是用于将 `NSString` 转换为 C 语言风格的 UTF-8 编码 `char*` 字符串。

```python
encrypt_result_str = emu.read_string(objc.msg_send(encrypt_result, "UTF8String"))
```

---

# Chomper 初始化参数分析

## 基本配置参数

**arch**

- 指定要模拟的处理器架构，如 ARM32 或 ARM64
- 默认值: const.ARCH_ARM64

**mode**

- 指定CPU执行模式，如 ARM 或 Thumb 模式

- 默认值: const.MODE_ARM

**os_type**

- 决定模拟哪种操作系统环境，包括系统调用、库函数等，如 IOS 或 安卓

- 默认值: const.OS_ANDROID

**endian**

- 指定字节序

**rootfs_path**

- 指定根文件系统路径，提供模拟环境所需的系统文件，如库文件、配置文件等。例如iOS模拟需要CoreFoundation、UIKit等框架。

- 默认值: None

## 功能开关参数

**enable_ui_kit**

- 是否启用UIKit框架支持，允许模拟器加载和使用iOS的UIKit框架，用于UI相关功能

- 默认值: True

**enable_objc**

- 是否启用Objective-C运行时支持，允许模拟器执行Objective-C方法调用、处理对象等

- 默认值: True

**enable_vfp**

- 是否启用ARM的向量浮点扩展(Vector Floating Point)，允许模拟器处理浮点运算指令

-  默认值: True

## 调试和跟踪参数

**logger**

- 自定义日志记录器，用于记录模拟过程中的日志信息

- 默认值: None

**trace_inst**

- 是否跟踪每条执行的指令，开启后会实时反汇编并输出每条执行的指令，但会显著降低模拟速度

- 默认值: False

**trace_symbol_calls**

- 是否跟踪所有符号调用，记录程序调用的所有外部函数

- 默认值: False

**trace_inst_callback**

- 自定义指令跟踪回调函数，允许用户提供自定义函数来处理指令执行事件

- 默认值: None

---

# ObjcRuntime 的 find_class 方法剖析

```python
    def find_class(self, name: str) -> ObjcClass:
        name_buf = self.emu.create_string(name)

try:
            class_value = self.emu.call_symbol("_objc_getClass", name_buf)
            if not class_value:
                raise ValueError(f"ObjC class '{name}' not found")

return ObjcClass(self, class_value)
        finally:
            self.emu.free(name_buf)
```

**Chomper 类的 `create_string` 方法**

首先看 Chomper 类的 `create_string` 方法，它负责动态内存分配，并将字符串写入新分配的内存空间，并返回指向该字符串的指针，源码如下：

```python
    def create_string(self, string: str) -> int:
        address = self.memory_manager.alloc(len(string) + 1)
        self.write_string(address, string)

return address

```

**Chomper 类的 `call_symbol` 方法**

随后可以发现使用了 Chomper 类的 `call_symbol` 方法，调用了 OC 的 `_objc_getClass` 方法。

`_objc_getClass` 方法是 Objective-C 运行时中的一个重要函数，用于根据类名查找并返回对应的类对象。

`call_symbol` 方法的主要处理逻辑如下：

1. 通过 Chomper 类的 `find_symbol` 获取函数符号的地址
2. 调用 Chomper 类的`_start_emulate` 方法进行模拟，模拟结束后会返回一个 int 类型的地址或者 0（表示空）

`call_symbol` 方法的源码如下所示

```
    def call_symbol(
        self,
        symbol_name: str,
        *args: int,
        va_list: Optional[Sequence[int]] = None,
    ) -> int:
        """Call function with the symbol name."""
        self.logger.info(f'Call symbol "{symbol_name}"')

symbol = self.find_symbol(symbol_name)
        address = symbol.address

return self._start_emulate(address, *args, va_list=va_list)

```

**ObjcClass 构造方法**

最后返回 `ObjcClass` 对象。

`ObjcClass` 是 Chomper 框架中表示 Objective-C 类的 Python 封装类，位于 `chomper/src/chomper/objc/types.py` 文件中。这个类提供了与 Objective-C 类交互的各种方法和属性，比如可以通过调用 `call_method` 去调用类方法，或者通过 `get_class_method` 获取类方法的信息。

```python
# 调用类方法
encrypt_result = bang_safe_sdk_class.call_method("checkcode:dataStyle:", encrypt_input, 2)
```

---

# 打印 NSString 对象

`NSString` 的 `UTF8String()` 方法是用于将 `NSString` 转换为 C 语言风格的 UTF-8 编码 `char*` 字符串。

```python
print(emu.read_string(objc.msg_send(ns_str, "UTF8String")))
```

---

# 创建 NSDictionary 对象

```python
  headers = objc.create_ns_dictionary({
      "sks": "2,1,0",
      "Content-Type": "application/json;charset=UTF-8",
  })
```

---

# 创建 NSData 对象

```python
data = objc.create_ns_data(b'{"code": 200,"data": "A3El6CecquxeBgFfJp6x_tKc1zEMQ==","status": 200}')
```

NSData 是不可变的二进制数据容器，其在 **OC 代码**中的创建方式如下

```
// 空数据
NSData *emptyData = [NSData data];

// 从字符串创建
NSString *str = @"Hello";
NSData *strData = [str dataUsingEncoding:NSUTF8StringEncoding];

// 从文件创建
NSData *fileData = [NSData dataWithContentsOfFile:@"/path/to/file"];

// 从二进制数据创建
Byte bytes[] = {0x01, 0x02, 0x03};
NSData *bytesData = [NSData dataWithBytes:bytes length:3];

```

---

# 打印 NSDictionary 对象

```python
# title 打印标题
# dict 是一个 ObjcObject 对象
def print_ns_dictionary(emu, objc, title, dict):
    dict_desc = objc.msg_send(dict, "description")
    dict_str = emu.read_string(objc.msg_send(dict_desc, "UTF8String"))
    emu.logger.info(f"[ {title} ]\n{dict_str}\n")
    print(f"[ {title} ]\n{dict_str}\n")
```

---

# 获取 ObjC 的类名

```python
ui_device = objc.msg_send("UIDevice", "currentDevice")
vendor_identifier = objc.msg_send(ui_device, "identifierForVendor")
# 获取 ObjC 的类名
print(vendor_identifier.class_name)
```

---

# 将输出的内容保存到文本中

对 `logging.basicConfig` 的 `filename` 进行设置

```python
def get_base_path() -> str:
    return os.path.abspath(os.path.dirname(__file__))

def get_log_path(extra_tips="") -> str:
    # 获取当前时间
    now = datetime.datetime.now()
    # 格式化为 YYYYMMDDHHMM
    formatted_time = now.strftime("%Y%m%d%H%M")

log_path = get_base_path() + "/log/" + formatted_time + extra_tips + ".log"
    return log_path

log_format = "%(levelname)s: %(message)s"
logging.basicConfig(
    format=log_format,
    level=logging.INFO,
    filename=get_log_path("***"),
)

logger = logging.getLogger()

```

---

# Chomper HOOK

## 通过函数符号进行 HOOK

```python
def hook_access(uc, address, size, user_data):
    emu = user_data["emu"]
    emu.logger.info("access called")

# Hook function by symbol name
emu.add_hook("_access", hook_access)
```

## 通过地址进行 HOOK

```python
def hook_stat(uc, address, size, user_data):
    emu = user_data["emu"]
    emu.logger.info("stat called")

def hook_stat_return(uc, address, size, user_data):
    emu = user_data["emu"]
    emu.logger.info("stat returned")

# 通过地址进行 HOOK，并指定返回回调
stat = emu.find_symbol("_stat")
emu.add_hook(stat.address, hook_stat, return_callback=hook_stat_return)
```

## Hook ObjC 方法

```python
def hook_ui_device_current_device(uc, address, size, user_data):
    emu = user_data["emu"]
    emu.logger.info("+[UIDevice currentDevice] called")

ui_device_class = objc.find_class("UIDevice")
# HOOK Objective-C 类方法
emu.add_hook(
    ui_device_class.get_class_method("currentDevice").implementation,
    hook_ui_device_current_device,
)
```

### 修改返回值

```python
def hook_ui_device_identifier_for_vendor(uc, address, size, user_data):
    emu = user_data["emu"]
    objc = ObjcRuntime(emu)
    return objc.msg_send("NSUUID", "UUID")

emu.add_interceptor(
    ui_device_class.get_instance_method("identifierForVendor").implementation,
    hook_ui_device_identifier_for_vendor,
)

# 主动调用
ui_device = objc.msg_send("UIDevice", "currentDevice")
vendor_identifier = objc.msg_send(ui_device, "identifierForVendor")
print(vendor_identifier)
```

---

# trace 指定模块

首先初始化模拟器时指定一个回调函数给参数 **trace_inst_callback**

```python
emu = Chomper(
    arch=ARCH_ARM64,                # 架构
    os_type=OS_IOS,                 # 操作系统类型
    rootfs_path=os.path.join(base_path, "../../rootfs/ios"),
    enable_ui_kit=True,
    
    # Specify custom callback
    trace_inst_callback=trace_inst_callback,
)
```

然后在模块加载的时候将参数 **trace_inst** 设置为 **true**

```
module = emu.load_module(os.path.join(base_path, "../..", bin_path), trace_inst=True)
```

底层原理如下所示，

```python
    def load_module(
        self,
        module_file: str,
        exec_init_array: bool = True,
        exec_objc_init: bool = True,
        trace_inst: bool = False,
        trace_symbol_calls: bool = False,
    ) -> Module:    
    
    # 省略了一堆代码
    
      # Trace instructions
      if trace_inst or self._trace_inst:
          self.add_inst_trace(module)
          
    # 省略了一堆代码
```

所以也可以使用 Chomper 的 **add_inst_trace()** 方法添加指定模块

```python
    # Add trace to a loaded module
    libobjc = emu.find_module("libobjc.A.dylib")
    emu.add_inst_trace(libobjc)
```

# trace 指定范围

trace 指定范围这个我没有看见提供的 API（也可能是没找到），所以笔者参考 Chomper 的 `add_inst_trace` 方法写了一个，代码如下：

```python
def trace_address_range(emu, begin_address, end_address, include_registers=False):
    """
    跟踪指定地址范围内的指令执行

参数:
        emu: Chomper 实例
        begin_address: 起始地址
        end_address: 结束地址
        include_registers: 是否包含寄存器状态
    """

def trace_callback(uc, address, size, user_data):

content = ""

# 反汇编当前指令
        code = uc.mem_read(address, size)
        for i in emu.cs.disasm(code, address, 1):
            # 计算相对于起始地址的偏移
            offset = address - begin_address

# 获取符号信息
            symbol_info = emu.debug_symbol(address)
            symbol_str = f" ({symbol_info})" if symbol_info else ""

# 打印指令信息
            content += f"{symbol_str} {i.mnemonic} {i.op_str}  "

# 打印寄存器状态（如果需要）
            if include_registers:
                regs = {}
                for j in range(31):
                    reg_name = f"x{j}"
                    # getattr 用于动态获取 arm64_const 模块中的常量
                    reg_value = uc.reg_read(getattr(arm64_const, f'UC_ARM64_REG_X{j}'))
                    regs[reg_name] = f"0x{reg_value:x}"

# 添加特殊寄存器
                sp = uc.reg_read(arm64_const.UC_ARM64_REG_SP)
                pc = uc.reg_read(arm64_const.UC_ARM64_REG_PC)
                regs["sp"] = f"0x{sp:x}"
                regs["pc"] = f"0x{pc:x}"

content += json.dumps(regs)

print(content)

print("trace_address_range")
    # 添加指令钩子
    user_data = {"emu": emu}
    hook = emu.uc.hook_add(
        UC_HOOK_CODE,
        trace_callback,
        user_data=user_data,
        begin=begin_address,
        end=end_address
    )

# 使用方法
begin_address = module_base + 0x27F2C
end_address = begin_address + 0x4A54

print("begin_address", begin_address)
print("end_address", end_address)

trace_address_range(emu, begin_address, end_address)
```

---

如发现代码或思路存在问题，恳请指正。同时期待与各位大佬交流学习，共同进步。

在此十分感谢 sh4w 大佬分享的 Chomper 框架！具体可以参考文章: [[分享]一个基于 Unicorn 实现的 iOS 程序模拟执行框架（Python）](https://bbs.kanxue.com/thread-281296.htm)

回复或点赞可查看完整内容

传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！！

最后于 2025-12-25 18:32 被αβγδεξπ编辑，原因：

#逆向分析 #基础理论 #程序开发 #源码分析 #工具脚本 #其他

最新回复 (65) 1 2 3 ▶
MaYil 雪币： 9446 活跃值： (8072) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 485 粉丝 2 关注私信	MaYil 2 楼感谢分享 2025-8-22 19:28 0
kingking888 雪币： 3235 活跃值： (6337) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 302 粉丝 6 关注私信	kingking888 3 楼 666 2025-8-22 20:57 0
kinglyu 雪币： 45 活跃值： (1437) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 52 粉丝 4 关注私信	kinglyu 4 楼确实资料较少，研究下 2025-8-22 22:27 0
mb_ldbucrik 雪币： 6 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 707 粉丝 7 关注私信	mb_ldbucrik 5 楼感谢分享 2025-8-23 07:59 0
zhongdong 雪币： 40 活跃值： (791) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 8 粉丝 0 关注私信	zhongdong 6 楼感谢分享 2025-8-23 08:53 0
wx_插曲雪币： 411 活跃值： (991) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 323 粉丝 24 关注私信	wx_插曲 7 楼感谢分享 2025-8-23 09:20 0
李小木子雪币： 230 活跃值： (1696) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 48 粉丝 0 关注私信	李小木子 8 楼 1 2025-8-24 09:08 0
kkte 雪币： 309 活跃值： (1361) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 28 粉丝 3 关注私信	kkte 9 楼 mark 2025-8-24 10:33 0
guijingwen 雪币： 7377 活跃值： (7605) 能力值： ( LV2，RANK：10 ) 在线值：发帖 13 回帖 312 粉丝 0 关注私信	guijingwen 10 楼 66 2025-8-24 15:18 0
Imxz 雪币： 110 活跃值： (9571) 能力值： ( LV2，RANK：10 ) 在线值：发帖 6 回帖 775 粉丝 9 关注私信	Imxz 11 楼 tql 2025-8-25 09:19 0
杨如画雪币： 5028 活跃值： (4985) 能力值： ( LV7，RANK：110 ) 在线值：发帖 16 回帖 58 粉丝 348 关注私信	杨如画 12 楼不错 2025-8-25 10:09 0
sh4w 雪币： 436 活跃值： (2071) 能力值： ( LV2，RANK：10 ) 在线值：发帖 3 回帖 10 粉丝 30 关注私信	sh4w 13 楼赞 2025-8-25 11:08 0
mb_ituygipf 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 18 粉丝 0 关注私信	mb_ituygipf 14 楼 6P 2025-8-25 14:05 0
αβγδεξπ 雪币： 1083 活跃值： (2473) 能力值： ( LV5，RANK：60 ) 在线值：发帖 4 回帖 61 粉丝 26 关注私信	αβγδεξπ 1 15 楼 sh4w 赞向您学习 ੭ ˙ᗜ˙ ੭ 2025-8-25 15:16 0
baitongling 雪币： 200 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 52 粉丝 0 关注私信	baitongling 16 楼 666 2025-8-27 22:55 0
wx_huhu_859 雪币： 260 能力值： ( LV1，RANK：0 ) 在线值：发帖 1 回帖 125 粉丝 1 关注私信	wx_huhu_859 17 楼 11 2025-9-3 23:14 0
wx_一颗红心向党旗雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 19 粉丝 0 关注私信	wx_一颗红心向党旗 18 楼 666 2025-9-4 20:28 0
git_94730eaydwshawke-gif 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 44 粉丝 0 关注私信	git_94730eaydwshawke-gif 19 楼 6666 2025-9-4 22:29 0
mb_swuorgig 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 6 粉丝 0 关注私信	mb_swuorgig 20 楼 666666666 2025-9-7 23:02 0
swkl 雪币： 31 活跃值： (1245) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 38 粉丝 0 关注私信	swkl 21 楼研究下，资料较少 2025-9-10 16:45 0
dig_grave 雪币： 9645 活跃值： (4380) 能力值： ( LV6，RANK：85 ) 在线值：发帖 11 回帖 33 粉丝 18 关注私信	dig_grave 22 楼 1 2025-9-15 15:00 0
帅君雪币： 179 活跃值： (196) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 11 粉丝 0 关注私信	帅君 23 楼 66 2025-9-16 12:18 0
lotus* 雪币： 42 能力值： ( LV1，RANK：0 ) 在线值：发帖 1 回帖 59 粉丝 4 关注私信	lotus* 24 楼 6666 2025-9-16 19:21 0
CocoaLee 雪币： 1 活跃值： (206) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 8 粉丝 0 关注私信	CocoaLee 25 楼 55 2025-9-18 20:52 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复