iOS开发进阶iOS精品文章-逆向iOS

iOS逆向 - 反编译微信app实现清理单向好友等等

2017-03-16  本文已影响2934人  ck2016

先看看最终把微信改成了什么样子

微信设置页

目前是实现了不限人数的消息群发,自动验证,自动回复好友,清理删掉我的人。以后可能会实现更多功能哦。


安装各种工具

搞反编译之前,首先安装各种工具,有的是在 mac 上安装的,有的是在手机上的,工具的安装网上很多教程了,百度一下你就知道怎么装了。

工具 作用
class_dump 提取可执行文件所有头文件的工具
Theos hook代码开发工具
Hopper Disassembler 反汇编工具
xcode 安装IPA到手机上
Clutch 砸壳
dumpdecrypted 砸壳2
insert_dylib 注入动态库工具
install_name_tool 改动态库路径
optool 查看动态库注入成功否
CydiaSubstrate 越狱手机上的一个动态库
debugserver 手机调试工具
lldb mac调试工具
iOS App Signer 重签名打包
ldid 重签名工具2
openSSH 手机上远程登录
cydia 手机越狱后的工具
syslogd 打log的,iOS8 才可用
cycript 动态调试工具
logify.pl 生成初始的hook代码

可以看出工具非常多,得自己一个一个安装,比较烦,当时我安装了2天,网上教程非常详细了我就不写怎么安装的了,有些在越狱手机的 cydia 中才能安装的,有些在 mac 上就能直接安装的,能在 mac 上直接的安装的工具我全部打包起来了,在这里可以下载 反编译工具合集

一些逆向的方法

先花几天时间熟悉上面那些工具,下面的内容就假设已经掌握了这些工具的使用。

通过 UI 元素找到对应的 Controller,并查看内部方法

openSSH连接手机:ssh root@手机IP
注入微信的进程:ps -e | grep -i wechat // 找到微信进程的 pid
cycript -p 微信的pid
通过这句话就可以打印出UI结构图了:UIApp.keyWindow.recursiveDescription().toString()
如下图:

根据 iOS View的树结构,找个 NavigationController 下面的 UIView,根据iOS view的响应链机制,不断打印一个 view 的 nextResponder
[#0x14e0c09a0 nextResponder];
一直往上找,就能找出聊天界面的 controller 是 NewMainFrameViewController。

class_dump 能提取出所有头文件
那么就可以看到 NewMainFrameViewController.h 头文件里面的内容了
cat NewMainFrameViewController.h 即可

分析一个动作

先给要观察的对象的所有方法加上 log

logify.pl 能自动生成打印 log 的 hook 代码
logify.pl NewMainFrameViewController.h > test.xm
如下图:

(id)arg1:id 是 类型 可以通过 [arg1 class] 打印出来,arg1 参数直接打,打印出 id 类型,找出他对应的头文件,修改他 - (NSString *)description; 方法,再注入,可以打印出这个对象中所有属性的值,参数值你就可以找出来了。

%orig; 是原始方法的代码,可以在后面加自己的代码,向下图一样

%log 是调 unix 的系统日志打印服务。

但是 syslogd 在 ios9 以上用不了了,只有 ios8 才能用,我当初想恢复 ios9 上的 syslogd 服务,比较麻烦,ios9 的系统删掉太多东西了,于是我就写了下面代码打印 log,虽然会当挡住界面,但是能实时看到。

// 加入显示 log 的 textView
dispatch_async(dispatch_get_main_queue(), ^{
    NSArray *array = [UIApplication sharedApplication].keyWindow.subviews;
    for (UIView *v in array) {
        if ([v isMemberOfClass:[UITextView class]] && v.tag == 1234) {
            [v removeFromSuperview];
        }
    }
    UITextView *tv = [[UITextView alloc] init];
    tv.tag = 1234;
    tv.frame = CGRectMake(0, 100, 200, 240);
    tv.font = [UIFont systemFontOfSize:15];
    [[UIApplication sharedApplication].keyWindow addSubview:tv];
});

///////////////

// 向 textView 写入一条 log 的函数
- (void)ck_log:(NSString *)str {
    dispatch_async(dispatch_get_main_queue(), ^{
        NSArray *array = [UIApplication sharedApplication].keyWindow.subviews;
        for (UIView *v in array) {
            if ([v isMemberOfClass:[UITextView class]] && v.tag == 1234) {
                UITextView *tv = (UITextView *)v;
                tv.text = [NSString stringWithFormat:@"%@\n---%@\n", tv.text, str];
            }
        }
    });
}

分析一个对象的动作

比如我要分析聊天界面点击一个好友时发生了什么
首先找出聊天界面的controller 是 NewMainFrameViewController

第一遍 hook:把他里面的方法全部打上 log
找到一个好友的头像点击,观察方法调用的顺序。
然后你就能知道调用方法的顺序。

第二遍 hook:把出现过的方法,把他 id 类型的参数打出来 [arg1 class]
就能还原参数类型。

第三遍 hook:找到重点想了解的参数类型,注入 description 方法,你就能够拿到发生动作时候的所有参数值。
然后你可以自己构造这些参数值,实现自动点击功能。

分析函数调用栈

有时候有个函数 func() 突然被调用了,你想知道是谁调用它的。

首先在 hopper 中找到这个函数地址,假设是 0x2222

再用 lldb + debugserver 启动手机中的 wechat
用 image list -o -f 打印 wechat 模块,找到 wechat 的偏移地址,假设是 0x1111

那么这个函数的实际运行地址为:基址 + 偏移
即 0x2222 + 0x1111 = 0x3333
因为操作系统加载一个可执行文件会分配一段内存地址给他,不一定是从0开始,所以就有了个偏移。

然后 br s -a '0x3333' 设个断点

去APP上重新出发 func() 函数的调用,lldb 会停在这里。
lldb 中用 bt 命令,打印函数调用栈

如下图

你会发现函数栈里有三个 WeChat 的函数
假设他前面的地址是 0x4444,这个是实际地址,要减去 0x1111,才是 hopper 中的地址,即 0x4444-0x1111 = 0x3333
然后去 hopper 中找 0x3333 的地址,你就可以知道函数名了。

还有打印 x20, x29 寄存器可以获得两个参数的内容。

写 hook 代码

分析完了一个动作的函数调用顺序,参数值,你就可以 hook 特定的函数,写相应的 tweak 代码,实现自动 XXX 的功能了。


反编译他人软件是违法的,不要干坏事哦。有些怕违法的东西我就不写出来了,最近抓的挺严的。

最后发个福利,微信自动抢红包的 iOS 插件 下载地址

上一篇下一篇

猜你喜欢

热点阅读