移动开发iOS 逆向工程 app安全 网络安全iOS

iOS逆向入门笔记-分析WeChat添加好友(一)

2017-09-15  本文已影响319人  SueLyon

一,工具

Mac工具:

Theos 制作Tweak的工具

hopper disassembler 静态分析工具

usbmuxd 端口转发,使用USB连接ssh,lldb等

class-dump dump目标的class信息,头文件

lldb 调试工具(安装Xcode自带)

dumpdecrypted 砸壳

iOS工具:

openssh ssh连接设备

cycript 脚本语言,hook正在运行的进程,实时注入代码

ondeviceconsole 查看iOS log

debugserver 连接手机进行lldb调试的工具(需Xcode真机调试生成)

使用 debugserver 需要先进行处理。因为缺少 task_for_pid 权限,所以调试不了其他的 app

通过ssh把debugserver拷出来   位置/Developer/usr/bin/debugserver

(注意scp指定端口- P跟在scp命令后面)

减肥  lipo  -thin armv7 ~/debugserver -output ~/debugserver  //看情况 armv7s 或arm64

使用ldid与ent签名 ldid - Sent.xml debugserver (-S为参数,ent.xml为文件,中间没有空格)

拷贝至设备原位置

图为ent.xml

二,分析

实现自动添加好友,则要拿到获取好友请求的方法,以及添加好友的方法。hook 获取好友请求的方法,在接收到好友请求的时候,执行添加好友的方法。而这些主要逻辑在“新的朋友”界面。

定位好友请求方法

2.1 UI分析

拿到方法实现的 ViewController。

打开“新的朋友”界面,

使用usbmuxd进行端口转发(避免ssh使用wifi连接带来的问题)python tcprelay.py -t 22:2222

使用ssh连接设备 ssh root@localhost -p 2222   // alpine为越狱设备初始密码

查看进程信息 ps -e |grep WeChat 

cycript注入 cycript -p WeChat   //输入pid也可

查看当前UI布局 cy# UIApp.keyWindow.recursiveDescription().toString()

UI布局

因为知道当前的视图有tableview,所以找到tableview的对象,上图可以看到该对象的地址为0x16a6ea00在使用nextResponder()根据响应者往上找当前的控制器。

nextResponder()

找到当前的控制器,为SayHelloViewController

2.2 log分析

2.21 dumpdecrypted砸壳

使用class-dumpdump 出微信的 class 信息,头文件,class-dump无法作用于加密过的App。所以,要想获取头文件,首先得破解加密的可执行文件,俗称”砸壳”。

首先下载编译,最后生成了dumpdecrypted.dylib文件. 这个就是等会需要用到的砸壳文件。以后可重复使用。

用ps -e命令找到所有进程,手机只开一个App,所以含有/var/mobile路径的就是可执行文件的路径,定位需要砸壳的可执行文件位置,cycript调试

定位Doucument目录位置    cy#  [[NSFileManager defaultManager] URLsForDirectory:NSDocumentDirectory inDomains:NSUserDomainMask][0]

将dumpdecrypted.dylib拷贝到Document目录下面

进入Document目录下面,执行DYLD_INSERT_LIBRARIES=dumpdecrypted.dylib相关命令

DYLD_INSERT_LIBRARIES=dumpdecrypted.dylib /var/mobile/Applications/XXXX-XXXX-XXXX-XXXX-XXXXXXXX/XXXXX.app/XXXX                 //即可执行文件位置,可直接拷贝

沙盒以外的大多数文件没有写权限,dumpdecrypted.dylib要写一个decrypted文件, 它是运行在商店app中的,需要与商店里面的app权限相同,所以写操作必须发生在有写权限的路径下才能成功。

完成后生成app砸壳后的文件xxx.decrypted  可使用class-dump IDA hopper disassembler 静态分析工具等

2.22 生成Tweak.xm

使用class-dump dump 出 class 信息:

class-dump -S -s -H XXX.decrypted  -o  ~/Document/headers/   

使用 theos 的 logify 工具,该工具用来注入NSLog来打印方法的入参和出参。

logify.pl  /headers/SayHelloViewController.h > ~/Desktop/Tweak.xm

参考:

一般该Tweak.xm仍然无法执行,需要进行修改:

去掉.cxx_destruct 方法

将HBLogDebug 改为NSLog

去掉所有的delegate

将所有的参数对象类型改成id

去掉所有的weak

2.23使用theos配置tweak工程

目录下面启动NIC /opt/theos/bin/nic.pl  选择Tweak

输入工程的名字  输入deb包的名字,相当于App的bundle id

输入tweak作者的名字

输入MobileSubstrate Bundle filter,就是设置tweak作用对象的bundle identifier             例如[com.apple.springboard] 

扩展一些cycript操作:

获取bundle id:[[NSBundle mainBundle] bundleIdentifier]

获取版本号:[[[NSBundle mainBundle]infoDictionary] objectForKey:@"CFBundleShortVersionString"];

[[NSBundle mainBundle]infoDictionary] 获得的是一个字典,里边放着Info.plist文件中的各种信息,根据不同的键去即可,如:

CFBundleDevelopmentRegion

CFBundleDisplayName

CFBundleExecutable

CFBundleExecutablePath

CFBundleIdentifier

CFBundleInfoDictionaryVersion = "6.0";

CFBundleInfoPlistURL

CFBundleName

CFBundlePackageType

CFBundleShortVersionString

CFBundleSignature

CFBundleSupportedPlatforms

最后需要输入安装完成后需要重启的应用,可直接-

接下来定制工程文件

Makefile:指定工程用到的文件、框架、库等信息,整个过程自动化。可添加

ARCHS = armv7 arm64

指定处理器架构,arm64架构不兼容armv7/armv7s架构,必须适配arm64的dylib

TARGET = iphone:latest:8.0 

格式为 平台:Xcode附带SDK版本:可部署安装等版本

XXX_FRAMEWORKS = UIKit CoreTelephony    (UIKit)      导入framework

XXX_PRIVATE_FRAMEWORK = AppSupport ChatKit  (XXXX)     导入私有framework

THEOS_DEVICE_IP =192.168.1.100        指定安装的手机ip(ssh)

Tweak.xm 是tweak工程默认生成的源文件,x表示支持Logos语法,具体如下:

%hook: 指定需要hook的class,必须以%end结尾

%log: 在%hook函数内部使用,将函数的类名、参数等信息输出,还能够在结尾输出自定义格式信息

%orig: 执行被hook住的源代码,更改原始函数的参数

%group:将%hook分组,以%end结尾。便于代码管理及按条件初始化,不属于自定义的group都会隐式归类到%group_ungrouped中。 必须配合下面的%init命令才能生效

%init: 初始化某个group,必须在hook或%ctor内调用。如果带参数,则初始化指定的group。不带参数则初始化_ungrouped。 只有调用了%init,group才能生效

%ctor: 一个构造器,完成初始化工作。如果不显示定义,Theos自动生成一个%ctor。并在其中调用%init(_ungrouped),%ctor不需要%end结尾

%new: 给一个现有的class添加新函数,功能与class_addMethod相同

%c: 等同于objc_getClass或者NSClassFromString, 动态获取一个类的定义,在%hook或%ctor内使用

reverseDemo.plist 记录一些配置信息,描述tweak的作用范围。其实就是一个字典。

control记录了deb包管理系统所需的基本信息, 会被打包进deb里。这里有debian官方文档http://www.debian.org/doc/debian-policy/ch-controlfields.html

2.24 打包安装

make package   //打包

安装dpkg,能够把你的app打包成Debian Package,可以分发到Cydia的存储目录中。

注意版本固定到1.18.10 不然报错

引用解决办法:

brew remove dpkg

HOMEBREW_NO_AUTO_UPDATE=1 brew install https://raw.githubusercontent.com/Homebrew/homebrew-core/7a4dabfc1a2acd9f01a1670fde4f0094c4fb6ffa/Formula/dpkg.rb

brew pin dpkg

若想重新编译或打包,可以使用make clean清理make, make package生成的文件

make package install   //安装

一切正常的话你就会在cydia->已安装->最近 看到你的插件

上一篇下一篇

猜你喜欢

热点阅读