1. 準(zhǔn)備：

• mac電腦
• 越獄好的手機
• 一個待分析的app

2. app砸殼

文章參考http://www.itdecent.cn/p/80c1311530c3

3. 反編譯出頭文件

文章參考http://www.itdecent.cn/p/c4272fce6703

4. frida安裝

電腦直接運行以下命令

pip install frida-tools

參考官方
https://frida.re/docs/ios/
手機端打開Cydia搜索frida安裝

5. frida-ps使用

# 將Frida通過USB連接到iPad，并列出正在運行的進程
frida-ps -U

# 運行中的應(yīng)用程序列表
frida-ps -Ua

# 已安裝的應(yīng)用程序列表
frida-ps -Uai

# 把Frida連接到特定的設(shè)備上
frida-ps -D 0216027d1d6d3a03

6. 分析砸殼之后導(dǎo)出的頭文件

這一步只能靠日常經(jīng)驗去猜，比如接口請求一般都是request、response等關(guān)鍵字。
或者結(jié)合android端的命名（前提分析了android的APP）

7. 結(jié)合frida-trace去分析

官方文檔https://frida.re/docs/frida-trace/
比如下面的命令

frida-trace -m "+[JDYUserContextManager sharedInstance]" -U 千牛

追蹤JDYUserContextManager類，sharedInstance方法的調(diào)用
也可以使用*模糊追蹤，比如
-m 包含指定方法
-M 排除指定方法
-U usb連接

frida-trace -m "+[JDYUserContextManager shared*]" -U 千牛

8. frida代碼的編寫

新建兩個文件
qianniu.py

import frida, sys #導(dǎo)入frida模塊
script = 'qianniu.js' #準(zhǔn)備執(zhí)行的frida javaScript腳本
bundle = 'com.taobao.sellerplatform' #準(zhǔn)備hook的app的bundleId

f = open(script, "r") #打開frida腳本
s = f.read() #讀取frida腳本

device = frida.get_usb_device(1000) #連接usb設(shè)備 1000表示超時
pid = device.spawn([bundle]) #啟動指定bundleId的app
session = device.attach(pid) #附加到app
script = session.create_script(s) #創(chuàng)建frida javaScript腳本
script.load() #load腳本到app進程中 這樣即注入成功
device.resume(pid) #恢復(fù)app運行
sys.stdin.read()#讀取打印日志

qianniu.js

if(ObjC.available){ //判斷Object-C類方法是否已經(jīng)加載進來
    console.log('hello world!')
}

9. hook指定方法

// 普通參數(shù)
function hook01(){
    let class_name = 'JDYUserContextManager'
    let method = '+ sharedInstance'
    let sharedInstance = ObjC.classes[class_name][method]
    let oldImpl = sharedInstance.implementation
    sharedInstance.implementation = ObjC.implement(sharedInstance,function(handle,selector,arg1,arg2){ 
        // 如果有參數(shù)的話，就是第三個參數(shù)為該方法的第一個參數(shù)：args[n-2]
        
        // 查看值
        console.log("arg1",new ObjC.Object(arg1))

        let result = oldImpl(handle,selector,arg1,arg2)
        return result
    })
}

// 參數(shù)類型為NSStackBlock
let method = '+ autoLogin:session:callBack:'
    let impl = ObjC.classes.ALBBSessionRpcService[method]
    const oldImpl = impl.implementation;
    impl.implementation = ObjC.implement(impl, function(handle,selector,arg1,arg2,arg3) {
        try{
            console.log("arg1",new ObjC.Object(arg1))
            console.log("arg2",arg2,JSON.stringify(new ObjC.Object(arg2)))
            console.log("arg3",arg3,new ObjC.Object(arg3)) //此參數(shù)為NSStackBlock

            var block = new ObjC.Block(arg3);
            const appCallback = block.implementation;
            block.implementation = function (resp)  {
                console.log(resp) // ALBBResponse
                const result = appCallback(resp);
                return result;
            };

            var ret = oldImpl(handle,selector,arg1,arg2,arg3);


            // console.log(ret)
        }catch(err){
            console.log(err)
        }
        return ret
    });

設(shè)置屬性@property

let obj = ObjC.classes.ALBBRPCInfo['new']()
obj.token()； // 獲取屬性
obj['setToken:']('token值') // 設(shè)置屬性

創(chuàng)建String類型

let arg1 = ObjC.classes.NSString['alloc']()['initWithString:']('我的字符串參數(shù)') 

創(chuàng)建Block

const pendingBlocks = new Set();
let newReplyBlock = new ObjC.Block({
          // 類型簽名，可以通過hook指定方法的block參數(shù)打印new ObjC.Block(resultCallback).types
          types:'v12@?0B8', 
          implementation: function () {
                pendingBlocks.delete(newReplyBlock);
          }
});

獲取指定類型的簽名

ObjC.classes.Foo['- connection:didReceiveResponse:'].types
// 或
new ObjC.Block(resultCallback).types

獲取指定對象的參數(shù)列表

obj.$ivars

10. 調(diào)用指定方法

• 代碼1

需要調(diào)用類的頭文件

@interface ALBBSessionModel : NSObject
{
}
+ (id)getUserId;

調(diào)用代碼

let userid = new ObjC.Object(ObjC.classes.ALBBSessionModel['+ getUserId']())

• 代碼2

需要調(diào)用類的頭文件

@interface JDYLoginCenterProtocolIMP : NSObject <JDYLoginCenterProtocol, JDYILoginService>
{
}
- (void)fastSwitchUserWithUserId:(id)arg1 resultCallback:(CDUnknownBlockType)arg2;

調(diào)用代碼

let userid = ObjC.classes.NSString['alloc']()['initWithString:']('3109007973') 
const pendingBlocks = new Set();

var newReplyBlock = new ObjC.Block({
      types:'v12@?0B8',
      implementation: function () {
          pendingBlocks.delete(newReplyBlock);
      }
});

let obj = ObjC.classes.JDYLoginCenterProtocolIMP['new']()
obj['- fastSwitchUserWithUserId:resultCallback:'](userid,newReplyBlock)

11. 日志查看

安裝

brew install libimobiledevice 

idevicesyslog日志查看工具
查看幫助

idevicesyslog --help

匹配關(guān)鍵字

idevicesyslog -m JDYLoginCenterProtocolIMP
idevicesyslog -m qiange.dylib

更多關(guān)于frida的學(xué)習(xí)，可以參考
https://codeshare.frida.re/