非越狱 QQ 逆向历险记

2017-03-05 本文已影响2322人 Tsui_YuenHong

Long Long Ago

小半年前，我曾写下越狱平台下的防QQ撤回的相关文章:逆向的尝试：让你的 QQ 不被撤回。前几天，阅读了杨萧玉大神的 Make WeChat Great Again。(⊙v⊙)嗯，突发奇想，好，那继续弄未越狱平台下的 QQ 的防撤回吧！

配置历险装备

iOSOpenDev 正常来说都会安装失败，这里给个修复的工具 iOSOpenDevInstallFix
yololib dylib 注入工具
machOview 查看 dylib 是否注入成功
cycript 强大的调试工具
class-dump 砸出头文件
iOS App Signer 图形化重签名工具

本文不涉及具体安装过程，请自行 google!

历险开始咯

1. 寻找目标 - 撤回函数

(⊙v⊙)嗯 ... 会不会和我半年前猜的一样呢，经过验证，果然是一样的，具体请看逆向的尝试：让你的 QQ 不被撤回。

撤回函数分别是如下几个，这里只需干掉第一个就可以了。

- (void)handleRecallNotify:(struct RecallModel *)arg1 isOnline:(_Bool)arg2;
- (void)handleDiscussRecallNotify:(char *)arg1 bufferLen:(unsigned int)arg2 isOnline:(_Bool)arg3;
- (void)handleGroupRecallNotify:(char *)arg1 bufferLen:(unsigned int)arg2 isOnline:(_Bool)arg3;
- (void)handleC2CRecallNotify:(const void *)arg1 bufferLen:(int)arg2 subcmd:(int)arg3 isOnline:(_Bool)arg4;

2. 编写 Tweak

这里我设置了一个 recallStatus，就是可以开关防撤回的功能。开的时候，就直接在函数中 return，不让它继续执行，就是这么简单粗暴。

CHOptimizedMethod2(self, void, QQMessageRecallModule, handleRecallNotify, RecallModel *, arg1, isOnline, _Bool, arg2){
    if ([XRKQQInfos sharedInstance].recallStatus) {
        return ;
    }
    CHSuper2(QQMessageRecallModule, handleRecallNotify, arg1, isOnline, arg2);
}

3. dylib 注入

将第二步得到的 dylib 库注入到从某助手下载的已经砸壳的 QQ 里面。

./yololib QQ hook_qq.dylib

使用 machOview 来查看是否注入成功。截图中 dylib 的名称和上面不同，就把它看成 hook_qq.dylib 就可以。

4. 重签名

由于 QQ 会进行签名验证，所以你要找一个通用匹配的证书来重签名。

5. 安装

使用Xcode 自带的安装工具就可以。

Xcode -> Window -> Devices

6. 测试

原谅自言自语的我

历险再启程

弄个撤回好像有点单调，就问我同学有没有好的意见，他是这样说的。

1. 寻找目标 - QQ level 的设置

1.1 注入 Cycript.framework 并安装到手机

略

1.2 连上手机调试

观察这个页面，我最开始的思路是先找到这个 level 展示的 view 然后在它 controller 里面直接修改的。所以我就 choose(UILabel)，然后再 iterm 里面搜索 Tsui YuenHong，找到它的 superview，再根据这个 superview找到它的 subviews，里面肯定包括这个 level 展示的 view，就可以修改到等级了。

$ ./cycript -r 192.168.0.202:8888
cy# choose(UILabel)
...... 一堆东西输出
cy# #0x117f3b9e0
#"<UIButtonLabel: 0x117f3b9e0; frame = (0 6.5; 195.5 33.5); text = 'Tsui YuenHong'; opaque = NO; userInteractionEnabled = NO; layer = <_UILabelLayer: 0x113b291e0>>"
cy# #0x117f3b9e0.superview
#"<UIButton: 0x113c69030; frame = (47 -3; 196 46); opaque = NO; layer = <CALayer: 0x17022f420>>"
cy# #0x117f3b9e0.superview.superview
#"<UIControl: 0x113bbc130; frame = (20 113.38; 283 85); layer = <CALayer: 0x11277edb0>>"
cy# #0x117f3b9e0.superview.superview.superview
#"<DrawerMyInfoView: 0x105d4abf0; baseClass = UIButton; frame = (0 0; 375 213.38); opaque = NO; layer = <CALayer: 0x17022f440>>"

找到了这个 view 的父容器是 DrawerMyInfoView，再找DrawerMyInfoView 的响应者就可以找到它对应的 controller。

cy# choose(DrawerMyInfoView)
[#"<DrawerMyInfoView: 0x105d4abf0; baseClass = UIButton; frame = (0 0; 375 213.38); opaque = NO; layer = <CALayer: 0x17022f440>>"]
cy# #0x105d4abf0.nextResponder
#"<UIView: 0x10f4595b0; frame = (0 0; 375 667); clipsToBounds = YES; autoresize = W+H; layer = <CALayer: 0x175032400>>"
cy# #0x105d4abf0.nextResponder.nextResponder
#"<DrawerContentsViewController: 0x106828a00>"

是你了，皮皮虾，DrawerMyInfoView & DrawerContentsViewController。兴致勃勃地在 QQ 头文件里面找，发现并木有引用到和 level 相关的方法。

好吧，那我就是搜索全部头文件来找到和 level 相关的方法，excuse me？发现并木有。

1.3 转战 hopper

在 hopper 中偶然发现有个一个类叫 QQAcountModel，这个类有点特殊，在 class-dump 出来的头文件是看不到的，而且它的 description 方法是被重写了，这样在一定程度可以避免被逆向的可能。这里我选择 hook 进 description
和 level 方法。

CHOptimizedMethod0(self, unsigned int, QQAccountsModel, level){
    return [XRKQQInfos sharedInstance].qqLevel;
}

CHOptimizedMethod0(self, NSString *, QQAccountsModel, description){
    return [NSString stringWithFormat:@"%p", self];
}

2. 其余步骤和防撤回功能一样

...

历险成果

防撤回功能
修改 Level（自娱自乐的功能）

为了方便修改，我还在设置界面新增自定义选项（不过，本地化并木有做，每次重启都恢复默认项）。

如果你发现什么有趣的功能，我们可以一起探讨，Make QQ Fun Again！

项目的 Github 地址：https://github.com/xurunkang/MakeQQFunAgain