iOS 逆向工程 app安全 网络安全女程序猿首页投稿

iOS开发 HOOK 下篇之 Cydia Substrate

2018-05-17  本文已影响23人  meryin

一 Cydia Substrate

Cydia Substrate 原名为 Mobile Substrate ,它的主要作用是针对OC方法、C函数以及函数地址进行HOOK操作。当然它并不是仅仅针对iOS而设计的,安卓一样可以用。是对Method Swizzle和fishhook的封装。
Cydia Substrate主要由3部分组成:

因为APP程序质量参差不齐崩溃再所难免,破解程序本质是dylib,寄生在别人进程里。 系统进程一旦出错,可能导致整个进程崩溃,崩溃后就会造成iOS瘫痪。所以CydiaSubstrate引入了安全模式,在安全模 式下所有基于CydiaSubstratede 的三方dylib都会被禁用,便于查错与修复。

二 逆向hook过程

  1. 找到包内容中的MachO文件,然后 把可执行文件的头文件导出来class-dump -H MachO文件 -o 文件夹
  2. 新建MonkeyApp,把ipa拖到MonkeyApp的TargetApp文件夹中,然后真机运行
  3. 利用Xcode的Debug View Hierarchy功能,找到需要hook的类和方法名,然后去class-dump出来的头文件里找出来。
  4. 如果某些方法无法通过UI来判定,那么就hook住这个类中的所有方法,然后%log 看输出,分析出自己想要的方法
  5. 得到方法名和类名后就可以开始hook了

Logos语法

%hook ViewController //要hook的类

- (void)loginBtnClick:(id)arg1
{
    
    %log
    UIAlertController *alertController = [UIAlertController alertControllerWithTitle:@"group1" message:nil preferredStyle:UIAlertControllerStyleAlert];
    UIAlertAction *connectAction = [UIAlertAction actionWithTitle:@"确定" style:UIAlertActionStyleDefault handler:nil];
    [alertController addAction:connectAction];
    [self presentViewController:alertController animated:YES completion:nil];
}
%end

当只有一个分组时,有隐性的构造函数,所以直接%hook %end就可以hook想要的类和方法。%hook %end可以hook一个类

%group group1  //第一个组

%hook ViewController //要hook的类
- (void)loginBtnClick:(id)arg1
{    
    %log  //输出方法的详细信息
}
%end

%end

%group group2  //第二个组

%hook ViewController
- (void)loginBtnClick:(id)arg1
{
    %orig; //执行的流程 可以有参数和返回值
    %log  //输出方法的信息
    UIAlertController *alertController = [UIAlertController alertControllerWithTitle:@"group2" message:nil preferredStyle:UIAlertControllerStyleAlert];
    UIAlertAction *connectAction = [UIAlertAction actionWithTitle:@"确定" style:UIAlertActionStyleDefault handler:nil];
    [alertController addAction:connectAction];
    [self presentViewController:alertController animated:YES completion:nil];
}

%end

%end
//构造函数 constructor 指定加载哪个组 init的时候,后面的会覆盖前面的%init(group2)%init(group1) group1生效
//默认的 %ctor{  %init(_ungrouped)}
//
%ctor{
    NSString * version = [UIDevice currentDevice].systemVersion;
    if(version.doubleValue >= 11.1){
        %init(group2)
    }else{
        %init(group1)
    }
}
%new //给类添加方法
-(void)touchesBegan:(NSSet<UITouch *> *)touches withEvent:(UIEvent *)event{
    [self.view endEditing:YES];
    //调用类方法
//    [self.class HK_classMethod];
//    [NSClassFromString(@"ViewController") HK_classMethod];
    [%c(ViewController) HK_classMethod];
    //%c(ViewController) 拿到ViewController类 class
}

%new //添加类方法
+(void)HK_classMethod{
    NSLog(@"这是一个类方法!");
}
- (void)viewDidAppear:(_Bool)arg1{
    %orig;
    UIButton * leftBtn = [UIButton buttonWithType:(UIButtonTypeContactAdd)];
    [leftBtn addTarget:self action:@selector(HK_leftClick) forControlEvents:(UIControlEventTouchUpInside)];
    [self.navigationItem setLeftBarButtonItem: [[UIBarButtonItem alloc] initWithCustomView:leftBtn]]; 
}

-(id)registerBtnClick:(id)arg1
{
   id value = %orig(arg1) //执行原本方法的流程
    //对value 进行一些自己的操作后
    return value
}

给类添加方法时,编译不过去,编译器报找不到这个方法的错误,那么可以自己建立一个.h文件,里面放要hook的类的头文件,头文件里包括自己添加的方法就可以编译通过。

四 举个例子🌰

在微信的第一次加载界面,把背景图片换掉,再加一个按钮,按钮事件跟登录事件效果一样

  1. 新建MonkeyApp ,把微信ipa重签名,用Debug View查看界面信息:


  1. hook住WCAccountLoginFirstViewController,加一个按钮
UIButton *bu = [UIButton buttonWithType:UIButtonTypeCustom];
    bu.frame = CGRectMake(10, 100, 100, 100);
    [bu setTitle:@"自己的登录" forState:UIControlStateNormal];
   
    [self.view addSubview:bu];
    bu.center =self.view.center;
    [bu addTarget:self action:@selector(clickToLogin) forControlEvents:UIControlEventTouchUpInside];
  1. 新建Header.h文件,文件里设置WCAccountLoginFirstViewController加上一个新方法- (void)clickToLogin
#import <UIKit/UIKit.h>
@interface WCAccountLoginFirstViewController : UIViewController
- (void)clickToLogin;
@end

  1. 那么怎么让图片点击事件跟登录事件效果一样呢?
(lldb) po 0x113b43c60  //Target
{
    className = WCAccountLoginControlLogic;
    memoryAddress = 0x10d495f80;
}

(lldb) po 0x113b46610 //Action
{
    className = "__NSCFString";
    memoryAddress = 0x113b46480;
}

然后再获取Action的方法:

(lldb) po 0x113b46480
onFirstViewLogin
@interface WCAccountLoginControlLogic : NSObject 
- (void)onFirstViewLogin;

@end
  1. 用cycript进行调试,找到登录按钮和背景UIImageView
1.获取当前控制器
cy# var control = UIApp.keyWindow.rootViewController.viewControllers[0]
#"<WCAccountLoginFirstViewController: 0x1080d0a00>"
2. 获取背景UIImageView
cy# var imagev = control.view.subviews[0].subviews[0]
#"<UIImageView: 0x10b33d460; frame = (0 -20; 375 667); opaque = NO; userInteractionEnabled = NO; layer = <CALayer: 0x10b120150>>"
3. 获取到登录按钮
cy# var button = control.view.subviews[1].subviews[0]
#"<FixTitleColorButton: 0x10b0d8c00; baseClass = UIButton; frame = (20 18; 157.5 47); clipsToBounds = YES; opaque = NO; autoresize = RM; layer = <CALayer: 0x10d5f9d40>>"
  1. 替换背景图片 图片资源直接拖到工程文件文件夹中target要选工程文件
 UIImageView * imgv1 = self.view.subviews[0].subviews[0];
    imgv1.image = [UIImage imageNamed:@"@1xGroup 3.png"];
  1. 实现自己的登录按钮事件
%new
- (void)clickToLogin
{
    UIButton *btn = self.view.subviews[1].subviews[0];
    NSArray *arr =[ btn.allTargets allObjects];
    WCAccountLoginControlLogic *vc = arr[0];
    [vc onFirstViewLogin];
    
}
  1. 最后的完整代码为
#import "Header.h"
%group group2
%hook WCAccountLoginFirstViewController
- (void)viewDidAppear:(_Bool)arg1{
    %orig;//执行原来的流程
    //添加自己的按钮
    UIButton *bu = [UIButton buttonWithType:UIButtonTypeCustom];
    bu.frame = CGRectMake(10, 100, 100, 100);
    [bu setTitle:@"自己的登录" forState:UIControlStateNormal];
   
    [self.view addSubview:bu];
    bu.center =self.view.center;
    [bu addTarget:self action:@selector(clickToLogin) forControlEvents:UIControlEventTouchUpInside];
    //替换背景图片
    UIImageView * imgv1 = self.view.subviews[0].subviews[0];
    imgv1.image = [UIImage imageNamed:@"@1xGroup 3.png"];   
}
%new
- (void)clickToLogin
{
    UIButton *btn = self.view.subviews[1].subviews[0];
    NSArray *arr =[ btn.allTargets allObjects];
    WCAccountLoginControlLogic *vc = arr[0];
    [vc onFirstViewLogin];  
}
%end
%end
%ctor{  
    %init(group2)
  
}
上一篇下一篇

猜你喜欢

热点阅读