MacOS内核调试环境搭建

http://ddeville.me/2015/08/using-the-vmware-fusion-gdb-stub-for-kernel-debugging-with-lldb

http://ddeville.me/2015/08/kernel-debugging-with-lldb-and-vmware-fusion

https://blog.csdn.net/qq_32400847/article/details/79297177

https://media.defcon.org/DEF CON 25/DEF CON 25 presentations/DEFCON-25-Min-Spark-Zheng-macOS-iOS-Kernel-Debugging.pdf

https://theori.io/research/korean/osx-kernel-exploit-1

方法一：LLDB+VMware Fusion+KDK

准备工作

1.在Mac中安装好LLDB(安装适合自己mac版本的xcode即可,xcode中自带lldb)，下载地址：https://developer.apple.com/download/more/

2.在Mac中安装好VMware Fusion，

3.准备好一个macos镜像

4.下载对应版本内核调试工具包(KDK,下载地址；https://developer.apple.com/download/more/

对于虚拟机中的操作

1.安装MacOS虚拟机

2.安装对应版本内核调试工具包(KDK)

3.关闭SIP

关闭虚拟机的SIP，开机的时候按Command+R进入恢复模式，然后在终端输入csrutil disable。重启之后可以用csrutil status命令查看是否成功关闭。

4.内核替换

将位于KDK安装目录下的可执行文件kernel.development复制到/System/Library/Kernels

cp /Library/Developer/KDKs/KDK_10.12.1_16B2657.kdk/System/Library/Kernels/kernel.development /System/Library/Kernels

5.设置boot-args

为了将虚拟机设置成调试模式，需要使用nvram设置boot-args，命令如下

sudo nvram boot-args="debug=0x141 kext-dev-mode=1 kcsuffix=development pmuflags=1 -v"

debug=0x141含义如下图所示

kext-dev-mode=1允许加载未签名kext，kcsuffix=development指定加载上面拷贝的kernel.development，pmuflags=1关闭定时器，-v显示内核加载信息

6.清除kext缓存

sudo kextcache -invalidate /

让虚拟机系统的kext cache无效，使用新的内核调试

7.下载内核代码

运行uname -v命令查看xnu源码版本，并从苹果开源代码上下载，下载地址：https://opensource.apple.com/tarballs/xnu/

8.查看虚拟机网络配置信息

为了将调试器连接到虚拟机，我们需要一些关于其网络配置的信息

对于主机中的操作

1.安装Xcode

Xcode中自带了lldb,选择适合自己mac版本的xcode版本进行安装，我这里选择8.3.3

2.安装内核调试工具包

安装与虚拟机中相同版本的内核调试工具包

3.关闭SIP

开始调试

1.重启虚拟机

虚拟机会等待调试器链接

2.启动LLDB并将目标设置为位于KDK中的(本地)内核二进制文件

$lldb

(lldb)target create /Library/Developer/KDKs/KDK_10.12.1_16B2657.kdk/System/Library/Kernels/kernel.development

如果遇到以下问题

就执行以下命令

(lldb) command script import "/Library/Developer/KDKs/KDK_10.12.1_16B2657.kdk/System/Library/Kernels/kernel.dSYM/Contents/Resources/DWARF/../Python/kernel.py"

$ echo "settings set target.load-script-from-symbol-file true" > ~/.lldbinit

再重新启动LLDB并将目标设置为位于KDK中的(本地)内核二进制文件

3.连接虚拟机

执行命令

kdp-remote 虚拟机IP地址

就可以开始调试

存在的问题

一旦内核启动并且调试器继续运行，内核就不能再从调试器中停止。

1.改进

在虚拟机中执行

$sudo nvram boot-args="debug=0x144 kext-dev-mode=1 kcsuffix=development pmuflags=1 -v"

之后如果想再运行时断下，就在虚拟机中按组合键

Command-Option-Control-Shift-Escape

就可以了

方法二：VMware Fusion GDB stub + LLDB

修改虚拟机配置文件

每个虚拟机文件都包含一个可以编辑的.vmx配置文件.vmwarevm（确保虚拟机在编辑时没有运行）

在文本编辑器中打开它并添加以下行：

# If you are debugging a 32-bit machine use `guest32`
debugStub.listen.guest64 = "TRUE"

用gdb进行调试

mac中gdb需要自己安装，请大家自行解决

启动虚拟机，在gdb中附加虚拟机进行调试

(gdb) file /Library/Developer/KDKs/KDK_10.10.5_14F27.kdk/System/Library/Kernels/kernel.development
Reading symbols from /Library/Developer/KDKs/KDK_10.10.5_14F27.kdk/System/Library/Kernels/kernel.development...Reading symbols from /Library/Developer/KDKs/KDK_10.10.5_14F27.kdk/System/Library/Kernels/kernel.development.dSYM/Contents/Resources/DWARF/kernel.development...
done.
(gdb) target remote localhost:8864
Remote debugging using localhost:8864
0xffffff800f9f1e52 in ?? ()

用lldb进行调试

LLDB实际上支持使用gdb-remote命令连接到GDB远程机器

(lldb) file /Library/Developer/KDKs/KDK_10.10.5_14F27.kdk/System/Library/Kernels/kernel.development
Current executable set to '/Library/Developer/KDKs/KDK_10.10.5_14F27.kdk/System/Library/Kernels/kernel.development' (x86_64).
(lldb) gdb-remote 8864
Kernel UUID: C75BDFDD-9F27-3694-BB80-73CF991C13D8
Load Address: 0xffffff800f800000
Kernel slid 0xf600000 in memory.
Loaded kernel file /Library/Developer/KDKs/KDK_10.10.5_14F27.kdk/System/Library/Kernels/kernel.development
Loading 87 kext modules ....................................................................................... done.
Target arch: x86_64
Connected to live debugserver or arm core. Will associate on-core threads to registers reported by server.
Process 1 stopped
* thread #3: tid = 0x0066, name = '0xffffff801c91d9c0', queue = 'cpu-0', stop reason = signal SIGTRAP
    frame #0: 0xffffffffffffffff

实时断点

只需要Ctrl + C即可及时在调试器中断下