iOS 逆向開發(fā)25：越獄調(diào)試上

iOS 逆向開發(fā) 文章匯總

目錄

前面的文章中使用砸殼后重簽的APP進(jìn)行調(diào)試，本篇文章在越獄環(huán)境下不重簽APP進(jìn)行調(diào)試。


一、Cycript

和iOS 逆向開發(fā)20：LLDB 動(dòng)態(tài)調(diào)試中在重簽的APP中使用Cycript不同，這里是在越獄環(huán)境下對(duì)不重簽APP使用Cycript。

1.1 進(jìn)入Cycript調(diào)試

  • 手機(jī)中通過Cydia安裝Cycript插件

  • USB連接手機(jī)后查看微信進(jìn)程ID：2797

sh usbConnect.sh
sh 6sp.sh
ps -A | grep WeChat
  • 進(jìn)入cycript環(huán)境（需要啟動(dòng)微信）
    cycript -p 2797或cycript -p WeChat

1.2 引入自定義的cy文件

這里導(dǎo)入iOS 逆向開發(fā)20：LLDB 動(dòng)態(tài)調(diào)試中自定義的differ.cy文件

  • 創(chuàng)建保存自定義cy文件的文件夾
手機(jī)終端
cd /usr/lib/cycript0.9/com
mkdir Differ
ls // 查看是否創(chuàng)建成功
  • 拷貝cy文件
Mac 終端
scp -P 12345 /Users/ztkj/Desktop/differ.cy root@localhost:/usr/lib/cycript0.9/com/Differ
  • 導(dǎo)入differ.cy文件

APPID命令可查看BundleID：需導(dǎo)入differ.cy
或使用：[NSBundle mainBundle].bundleIdentifier


二、獲取ZFB登錄密碼

2.1 使用cycript調(diào)試ZFB

  • 連接手機(jī)，打開ZFB，進(jìn)入ZFB密碼登錄界面
sh 6sp.sh
ps -A | grep Ali
cycript -p AlipayWallet
  • 找到登錄按鈕控件
    獲取登錄Unicode編碼
python  // 進(jìn)入python環(huán)境
>>> str = u"登錄"
>>> str
u'\u767b\u5f55'

打印出界面上的所有控件
UIApp.keyWindow.recursiveDescription().toString()

  • 終端中搜索\u767b\u5f55
    可以發(fā)現(xiàn)登錄控件為：AUButton: 0x120cc0e50

  • 找到登錄按鈕調(diào)用的方法

#0x120cc0e50.allTargets
#0x120cc0e50.allControlEvent
[#0x120cc0e50 actionsForTarget:#0x121706be0 forControlEvent:64]

因此登錄按鈕調(diào)用的是：[ALUAccuratePWDView onNext]方法

  • 密碼框中輸入eeeeee，終端中搜索eeeeee
    可以發(fā)現(xiàn)輸入的密碼在aluTextField: 0x110dd3c00控件中

2.2 使用dump.py砸殼并獲取頭文件

// USB連接手機(jī)
sh usbConnect.sh

// 砸殼（需要打開ZFB）
frida-ps -U
cd /Users/ztkj/Desktop/Temp
dump.py 支付寶

// 獲取頭文件（解壓ipa包，并復(fù)制AlipayWallet可執(zhí)行文件出來）
class-dump -H AlipayWallet -o AlipayWalletHeaders/

將AlipayWalletHeaders拖入Sublime Text打開，結(jié)合頭文件分析里面的成員變量可以找密碼框：
ALUAccuratePWDView: 0x121706be0
#0x121706be0->_loginBox->_passwordInputBox->_textField

2.3 Theos創(chuàng)建插件進(jìn)行HOOK

  • 創(chuàng)建AliPayPwdDemo插件
nic.pl

Choose a Template (required): 15
Project Name (required): AliPayPwdDemo
// 包名所有小寫（如果有多個(gè)Xcode還需要指定一個(gè)：xcode-select --switch 路徑(/Applications/Xcode.app/Contents/Develope)）
Package Name [com.yourcompany.alipaypwddemo]: com.differ.alipaypwddemo
// 不輸入使用默認(rèn)的
Author/Maintainer Name [differ]:
// 進(jìn)入cycript環(huán)境，APPID命令可查看BundleID
[iphone/tweak] MobileSubstrate Bundle filter [com.apple.springboard]: com.alipay.iphoneclient
// 需要重新打開的應(yīng)用，默認(rèn)重啟所有應(yīng)用
[iphone/tweak] List of applications to terminate upon installation (space-separated, '-' for none) [SpringBoard]: AlipayWallet
  • 將AliPayPwdDemo拖到Sublime Text打開
    Makefile文件中添加SSH配置

也可以在./.zshrc中添加THEOS的環(huán)境變量，這樣以后就不用再重復(fù)配置了

  • 在Tweak.x文件中寫Logs HOOK代碼
    將Tweak.x文件后綴改為.xm（Makefile文件中也需要修改為Tweak.xm）。Tweak.xm文件內(nèi)容如下：
#import <UIKit/UIKit.h>

%hook ALUAccuratePWDView

- (void)onNext {
    NSLog(@"\n\n\n??????注入成功?。?！??????\n\n\n");

    UIView *v1 = MSHookIvar<UIView *>(self, "_loginBox");
    UIView *v2 = MSHookIvar<UIView *>(v1, "_passwordInputBox");
    UITextField *pwd = MSHookIvar<UITextField *>(v2, "_textField");
    
    NSLog(@"密碼是：%@",pwd.text);
}

%end

編譯安裝AliPayPwdDemo插件

cd alipaypwddemo文件夾

make // 編譯，路徑中不能有中文
make package
make install

可以在Cydia中的已安裝中看到AliPayPwdDemo插件安裝成功

在Xcode中的Device中Open Console

重新打開支付寶，輸入密碼并點(diǎn)擊登錄按鈕，可以看到控制臺(tái)輸出：


三、Reveal

Reveal是一款UI調(diào)試神器，對(duì)iOS開發(fā)非常有幫助。我們使用的是Version 4 (8796)的版本。Reveal可以對(duì)未重簽的APP進(jìn)行界面調(diào)試。下載鏈接

安裝

環(huán)境配置

sh usbConnect.sh
sh 6sp.sh

cd /Library/
mkdir RHRevealLoader

// Mac終端
cd /Applications/Reveal.app/Contents/SharedSupport/iOS-Libraries/RevealServer.framework
scp -r -P 12345 RevealServer root@localhost:/Library/RHRevealLoader/libReveal.dylib

注意需要手機(jī)和Mac連接統(tǒng)一WIFi。
先退出Mac上Reveal并打開手機(jī)上的APP，然后再打開Mac上Reveal。

微信調(diào)試
App Store 調(diào)試


四、debugserver

我們Xcode中的lldb可以調(diào)試手機(jī)中的應(yīng)用，是因?yàn)槭謾C(jī)中的debugserver開啟的相關(guān)服務(wù)。所以在越獄環(huán)境中，我們只需要開啟debugserver服務(wù)就可以利用LLDB遠(yuǎn)程調(diào)試三方應(yīng)用了。

可以嘗試使用Xcode-Debug-Attach to Proccess附加程序將手機(jī)中運(yùn)行的APP進(jìn)行斷點(diǎn)調(diào)試和界面調(diào)試

  • 使用Xcode附加進(jìn)程需要打開一個(gè)iOS項(xiàng)目，并且項(xiàng)目運(yùn)行目標(biāo)為當(dāng)前手機(jī)
  • 非越獄手機(jī)只能附加自己的APP，越獄手機(jī)可以附加所有APP

debugserver

啟動(dòng)debugserver

如果有權(quán)限問題執(zhí)行以下操作：

  • ldid -e debugserver > debugserver.entitlements
  • 將debugserver.entitlements中添加task_for_pid-allow、get-task-allow 值為1
  • ldid -Sdebugserver.entitlements debugserver
  • 將處理后的debugserver重新拷貝到手機(jī)即可
最后編輯于 ：
?著作權(quán)歸作者所有,轉(zhuǎn)載或內(nèi)容合作請(qǐng)聯(lián)系作者
【社區(qū)內(nèi)容提示】社區(qū)部分內(nèi)容疑似由AI輔助生成，瀏覽時(shí)請(qǐng)結(jié)合常識(shí)與多方信息審慎甄別。
平臺(tái)聲明：文章內(nèi)容（如有圖片或視頻亦包括在內(nèi)）由作者上傳并發(fā)布，文章內(nèi)容僅代表作者本人觀點(diǎn)，簡書系信息發(fā)布平臺(tái)，僅提供信息存儲(chǔ)服務(wù)。

相關(guān)閱讀更多精彩內(nèi)容

  • 調(diào)試一款應(yīng)用，使用重簽名方案，很容易被第三方察覺。在越獄環(huán)境中，我們可以在不污染App的情況下，對(duì)第三方程序進(jìn)行動(dòng)...
    帥駝駝閱讀 1,136評(píng)論 0贊 2
  • iOS逆向?qū)W習(xí)【1~32】 【chechra1n、Cydia、sshopen、vim、Cycript、adv-cm...
    CYC666閱讀 2,131評(píng)論 0贊 5
  • 《iOS底層原理文章匯總》[http://www.itdecent.cn/p/15af435341ce]上一篇文...
    一畝三分甜閱讀 1,170評(píng)論 0贊 2
  • Cycript 找到當(dāng)前界面上的所有對(duì)象 通過控件的 nextResponder 查找視圖控制器 打印當(dāng)前控制器下...
    7c205247047d閱讀 1,676評(píng)論 0贊 1
  • 16宿命：用概率思維提高你的勝算 以前的我是風(fēng)險(xiǎn)厭惡者，不喜歡去冒險(xiǎn)，但是人生放棄了冒險(xiǎn)，也就放棄了無數(shù)的可能。 ...
    yichen大刀閱讀 7,536評(píng)論 0贊 4

友情鏈接更多精彩內(nèi)容