<安全攻防之应用砸壳>

应用砸壳

• 在App Stroe上架的应用,苹果公司都对其进行了加密处理,就是所谓的加壳,所以我们要对其进行脱壳处理.在MachO的Load Commands->LC_ENCRYPTION_INFO->CRYPT ID,如果是非0,就意味着这个应用进行过加壳处理.未脱壳的应用无法导出的头文件,ida或者hopper也无法进行分析.

• 在MachOView中打开MachO文件,如下:

  
  MachO.jpg

• 也可以通过命令行工具查看Load Commands信息

EX: $otool -l LuckyClient | grep crypt
$otool -l xxxMachO文件名称xxx | grep crypt

otool.jpg

静态砸壳Clutch

• 拷贝Clutch到/usr/bin目录下之后修改文件的权限,我的端口是4444的,

$scp -P 4444 Clutch root@192.168.115:/usr/bin
$chmod +x Clutch

Clutch.jpg
ClutchPath.jpg

动态砸壳dumpdecrypted

• ①.下载dumpdecrypted,
  ②.cd到dumpdecrypted文件夹,命令行make编译后会生成dumpdecrypted.dylib动态库
  ③.拷贝dumpdecrypted.dylib文件到手机用户目录下
  ④.查看所有进程
  ⑤.注入动态库
  ⑥.在用户目录下会生成一个MachO文件

$cd ~/Desktop/dumpdecrypted-master 
$make
$scp -P 4444  dumpdecrypted.dylib root@localhost:~/
$ps -A
$DYLD_INSERT_LIBRARIES=dumpdecrypted.dylib xxx需要注入的进程的路径
$ls