Mac App Crash分析

原创

已于 2023-10-07 15:06:58 修改 · 2.6k 阅读

0 ·

CC 4.0 BY-SA版权

文章标签：

#macos

于 2019-01-22 19:05:15 首次发布

本文记录了一次针对Mac App崩溃的分析过程，从只有二进制文件和Crash文件开始，通过分析堆栈、模块加载范围、寄存器值和内存属性，逐步定位到问题发生在`io_dispatch_t::worker_routine`中的`loop`函数。通过IDA分析，发现`rdx`与`rdi`相等，进一步找到可能导致崩溃的代码行，原因是`FD_SET`操作中fd值过大。最后总结了在Mac上进行这类分析的经验和方法。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

0x00

最近分析了一个Mac App的crash，感觉挺有意思，记录分享下。
背景略有点坑，手头有的只是一个二进制文件，一个crash文件。符号文件有，但是不知道怎么在IDA6.8里加载，map文件也没有。
Crash文件：
1、每个线程的堆栈；
2、每个模块加载范围；
3、崩溃时寄存器的值；
4、崩溃的简单原因分析（段错误）；
5、无效地址附近的符号及内存属性。
另外二进制文件经过比较复杂的优化，很多函数被内联。
Crash文件简单摘要如下：

Crashed Thread:        3

Exception Type:        EXC_BAD_ACCESS (SIGSEGV)
Exception Codes:       KERN_INVALID_ADDRESS at 0x00007fa0630b3d04
Exception Note:        EXC_CORPSE_NOTIFY

Termination Signal:    Segmentation fault: 11
Termination Reason:    Namespace SIGNAL, Code 0xb
Terminating Process:   exc handler [8880]

VM Regions Near 0x7fa0630b3d04:
    MALLOC_SMALL           00007fa05b000000-00007fa05d000000 [ 32.0M] rw-/rwx SM=PRV  
--> 
    STACK GUARD            00007ffeebac1000-00007ffeef2c1000 [ 56.0M] ---/rwx SM=NUL  stack guard for thread 0

Thread 3 Crashed:
0   module name A           	0x0000000100156328 io_dispatch_t::worker_routine(void*) (in module A) (source