iOS开发 HOOK 下篇之 Cydia Substrate

2018-05-17 本文已影响23人 meryin

一 Cydia Substrate

Cydia Substrate 原名为 Mobile Substrate ，它的主要作用是针对OC方法、C函数以及函数地址进行HOOK操作。当然它并不是仅仅针对iOS而设计的，安卓一样可以用。是对Method Swizzle和fishhook的封装。
Cydia Substrate主要由3部分组成：

MobileHooker
MobileHooker顾名思义用于HOOK。它定义一系列的宏和函数，底层调用objc的runtime和fishhook来替换系统或者目标应用的函数.
其中有两个函数:
MSHookMessageEx 主要作用于Objective-C方法
void MSHookMessageEx(Class class, SEL selector, IMP replacement, IMP result)
MSHookFunction 主要作用于C和C++函数
void MSHookFunction(voidfunction,void* replacement,void** p_original)
Logos语法的%hook 就是对此函数做了一层封装
MobileLoader
MobileLoader用于加载第三方dylib在运行的应用程序中。启动时MobileLoader会根据规则把指定目录的第三方的动态库加载进去，第三方的动态库也就是我们写的破解程序.
safe mode

因为APP程序质量参差不齐崩溃再所难免，破解程序本质是dylib，寄生在别人进程里。系统进程一旦出错，可能导致整个进程崩溃,崩溃后就会造成iOS瘫痪。所以CydiaSubstrate引入了安全模式,在安全模式下所有基于CydiaSubstratede 的三方dylib都会被禁用，便于查错与修复。

二逆向hook过程

找到包内容中的MachO文件，然后把可执行文件的头文件导出来class-dump -H MachO文件 -o 文件夹
新建MonkeyApp,把ipa拖到MonkeyApp的TargetApp文件夹中，然后真机运行
利用Xcode的Debug View Hierarchy功能，找到需要hook的类和方法名，然后去class-dump出来的头文件里找出来。
如果某些方法无法通过UI来判定，那么就hook住这个类中的所有方法，然后%log 看输出，分析出自己想要的方法
得到方法名和类名后就可以开始hook了

三 Logos语法

%hook 要hook的类

%hook ViewController //要hook的类

- (void)loginBtnClick:(id)arg1
{
    
    %log
    UIAlertController *alertController = [UIAlertController alertControllerWithTitle:@"group1" message:nil preferredStyle:UIAlertControllerStyleAlert];
    UIAlertAction *connectAction = [UIAlertAction actionWithTitle:@"确定" style:UIAlertActionStyleDefault handler:nil];
    [alertController addAction:connectAction];
    [self presentViewController:alertController animated:YES completion:nil];
}
%end

当只有一个分组时，有隐性的构造函数，所以直接%hook %end就可以hook想要的类和方法。%hook %end可以hook一个类

%group 分组
两个以上分组时要构造函数并初始化%group %%end是一个分组

%group group1  //第一个组

%hook ViewController //要hook的类
- (void)loginBtnClick:(id)arg1
{    
    %log  //输出方法的详细信息
}
%end

%end

%group group2  //第二个组

%hook ViewController
- (void)loginBtnClick:(id)arg1
{
    %orig; //执行的流程 可以有参数和返回值
    %log  //输出方法的信息
    UIAlertController *alertController = [UIAlertController alertControllerWithTitle:@"group2" message:nil preferredStyle:UIAlertControllerStyleAlert];
    UIAlertAction *connectAction = [UIAlertAction actionWithTitle:@"确定" style:UIAlertActionStyleDefault handler:nil];
    [alertController addAction:connectAction];
    [self presentViewController:alertController animated:YES completion:nil];
}

%end

%end

%ctor 构造函数

//构造函数 constructor 指定加载哪个组 init的时候，后面的会覆盖前面的%init(group2)%init(group1) group1生效
//默认的 %ctor{  %init(_ungrouped)}
//
%ctor{
    NSString * version = [UIDevice currentDevice].systemVersion;
    if(version.doubleValue >= 11.1){
        %init(group2)
    }else{
        %init(group1)
    }
}

%new 添加方法

%new //给类添加方法
-(void)touchesBegan:(NSSet<UITouch *> *)touches withEvent:(UIEvent *)event{
    [self.view endEditing:YES];
    //调用类方法
//    [self.class HK_classMethod];
//    [NSClassFromString(@"ViewController") HK_classMethod];
    [%c(ViewController) HK_classMethod];
    //%c(ViewController) 拿到ViewController类 class
}

%new //添加类方法
+(void)HK_classMethod{
    NSLog(@"这是一个类方法!");
}

%orig 执行原本方法的流程

- (void)viewDidAppear:(_Bool)arg1{
    %orig;
    UIButton * leftBtn = [UIButton buttonWithType:(UIButtonTypeContactAdd)];
    [leftBtn addTarget:self action:@selector(HK_leftClick) forControlEvents:(UIControlEventTouchUpInside)];
    [self.navigationItem setLeftBarButtonItem: [[UIBarButtonItem alloc] initWithCustomView:leftBtn]]; 
}

-(id)registerBtnClick:(id)arg1
{
   id value = %orig(arg1) //执行原本方法的流程
    //对value 进行一些自己的操作后
    return value
}

给类添加方法时，编译不过去，编译器报找不到这个方法的错误，那么可以自己建立一个.h文件，里面放要hook的类的头文件，头文件里包括自己添加的方法就可以编译通过。

MSHookIvar 获取成员变量
[MSHookIvar<UITableView *>(self,"_tableView") endEditing:YES];

四举个例子🌰

在微信的第一次加载界面，把背景图片换掉，再加一个按钮，按钮事件跟登录事件效果一样

新建MonkeyApp ，把微信ipa重签名，用Debug View查看界面信息：

把可执行文件的头文件导出来
➜ WeChat.app class-dump -H WeChat -o /Users/mac/Desktop/wechatHeaders
把wechatHeaders拖到Sublime Text打开，找到WCAccountLoginFirstViewController

hook住WCAccountLoginFirstViewController，加一个按钮

UIButton *bu = [UIButton buttonWithType:UIButtonTypeCustom];
    bu.frame = CGRectMake(10, 100, 100, 100);
    [bu setTitle:@"自己的登录" forState:UIControlStateNormal];
   
    [self.view addSubview:bu];
    bu.center =self.view.center;
    [bu addTarget:self action:@selector(clickToLogin) forControlEvents:UIControlEventTouchUpInside];

新建Header.h文件，文件里设置WCAccountLoginFirstViewController加上一个新方法- (void)clickToLogin

#import <UIKit/UIKit.h>
@interface WCAccountLoginFirstViewController : UIViewController
- (void)clickToLogin;
@end

那么怎么让图片点击事件跟登录事件效果一样呢？

先确定登录按钮的事件
得到登录按钮的Target和Action，lldb调试

(lldb) po 0x113b43c60  //Target
{
    className = WCAccountLoginControlLogic;
    memoryAddress = 0x10d495f80;
}

(lldb) po 0x113b46610 //Action
{
    className = "__NSCFString";
    memoryAddress = 0x113b46480;
}

然后再获取Action的方法：

(lldb) po 0x113b46480
onFirstViewLogin

在 Sublime Text中找到WCAccountLoginControlLogic类看是否包含onFirstViewLogin方法，结果果然包含onFirstViewLogin方法
那么要编译通过，就要声明WCAccountLoginControlLogic 和onFirstViewLogin，所以在Header.h中添加

@interface WCAccountLoginControlLogic : NSObject 
- (void)onFirstViewLogin;

@end

用cycript进行调试，找到登录按钮和背景UIImageView

1.获取当前控制器
cy# var control = UIApp.keyWindow.rootViewController.viewControllers[0]
#"<WCAccountLoginFirstViewController: 0x1080d0a00>"
2. 获取背景UIImageView
cy# var imagev = control.view.subviews[0].subviews[0]
#"<UIImageView: 0x10b33d460; frame = (0 -20; 375 667); opaque = NO; userInteractionEnabled = NO; layer = <CALayer: 0x10b120150>>"
3. 获取到登录按钮
cy# var button = control.view.subviews[1].subviews[0]
#"<FixTitleColorButton: 0x10b0d8c00; baseClass = UIButton; frame = (20 18; 157.5 47); clipsToBounds = YES; opaque = NO; autoresize = RM; layer = <CALayer: 0x10d5f9d40>>"

替换背景图片图片资源直接拖到工程文件文件夹中target要选工程文件

 UIImageView * imgv1 = self.view.subviews[0].subviews[0];
    imgv1.image = [UIImage imageNamed:@"@1xGroup 3.png"];

实现自己的登录按钮事件

%new
- (void)clickToLogin
{
    UIButton *btn = self.view.subviews[1].subviews[0];
    NSArray *arr =[ btn.allTargets allObjects];
    WCAccountLoginControlLogic *vc = arr[0];
    [vc onFirstViewLogin];
    
}

最后的完整代码为

#import "Header.h"
%group group2
%hook WCAccountLoginFirstViewController
- (void)viewDidAppear:(_Bool)arg1{
    %orig;//执行原来的流程
    //添加自己的按钮
    UIButton *bu = [UIButton buttonWithType:UIButtonTypeCustom];
    bu.frame = CGRectMake(10, 100, 100, 100);
    [bu setTitle:@"自己的登录" forState:UIControlStateNormal];
   
    [self.view addSubview:bu];
    bu.center =self.view.center;
    [bu addTarget:self action:@selector(clickToLogin) forControlEvents:UIControlEventTouchUpInside];
    //替换背景图片
    UIImageView * imgv1 = self.view.subviews[0].subviews[0];
    imgv1.image = [UIImage imageNamed:@"@1xGroup 3.png"];   
}
%new
- (void)clickToLogin
{
    UIButton *btn = self.view.subviews[1].subviews[0];
    NSArray *arr =[ btn.allTargets allObjects];
    WCAccountLoginControlLogic *vc = arr[0];
    [vc onFirstViewLogin];  
}
%end
%end
%ctor{  
    %init(group2)
  
}

iOS开发 HOOK 下篇之 Cydia Substrate

一 Cydia Substrate

二逆向hook过程

三 Logos语法

四举个例子🌰

猜你喜欢

热点阅读

iOS开发 HOOK 下篇之 Cydia Substrate

一 Cydia Substrate

二 逆向hook过程

三 Logos语法

四 举个例子🌰

猜你喜欢

热点阅读

二逆向hook过程

四举个例子🌰