文章內容來源于網絡整理，方便自己查看

一 重簽名防護

想自己的app不被重簽名，可以在代碼中檢測簽名信息，然后采取措施

1. 查看證明組織單位（打開鑰匙串找到對應簽名證書）

   
   
   image.png

• 還可以查看，查看embedded.mobileprovision信息security cms -D -i embedded.mobileprovision 找到<key>application-identifier</key>的value的第一部分就是

2. 利用簽名信息進行重簽名防護

void  checkCodesign(NSString *id){
    // 描述文件路徑
    NSString *embeddedPath = [[NSBundle mainBundle] pathForResource:@"embedded" ofType:@"mobileprovision"];
    // 讀取application-identifier  注意描述文件的編碼要使用:NSASCIIStringEncoding
    NSString *embeddedProvisioning = [NSString stringWithContentsOfFile:embeddedPath encoding:NSASCIIStringEncoding error:nil];
    NSArray *embeddedProvisioningLines = [embeddedProvisioning componentsSeparatedByCharactersInSet:[NSCharacterSet newlineCharacterSet]];

    for (int i = 0; i < embeddedProvisioningLines.count; i++) {
        if ([embeddedProvisioningLines[i] rangeOfString:@"application-identifier"].location != NSNotFound) {
            NSInteger fromPosition = [embeddedProvisioningLines[i+1] rangeOfString:@"<string>"].location+8;
            NSInteger toPosition = [embeddedProvisioningLines[i+1] rangeOfString:@"</string>"].location;
            NSRange range;
            range.location = fromPosition;
            range.length = toPosition - fromPosition;
            NSString *fullIdentifier = [embeddedProvisioningLines[i+1] substringWithRange:range];
            NSArray *identifierComponents = [fullIdentifier componentsSeparatedByString:@"."];
            NSString *appIdentifier = [identifierComponents firstObject];
            // 對比簽名ID
            if (![appIdentifier isEqual:id]) {
                //exit
                asm(
                    "mov X0,#0\n"
                    "mov w16,#1\n"
                    "svc #0x80"
                    );
            }
            break;
        }
    }
}

二 sysctl檢測是否被調試

#import <sys/sysctl.h>
bool checkDebugger(){
    //控制碼
    int name[4];//放字節(jié)碼-查詢信息
    name[0] = CTL_KERN;//內核查看
    name[1] = KERN_PROC;//查詢進程
    name[2] = KERN_PROC_PID; //通過進程id查進程
    name[3] = getpid();//拿到自己進程的id
    //查詢結果
    struct kinfo_proc info;//進程查詢信息結果
    size_t info_size = sizeof(info);//結構體大小
    int error = sysctl(name, sizeof(name)/sizeof(*name), &info, &info_size, 0, 0);
    assert(error == 0);//0就是沒有錯誤

    //結果解析 p_flag的第12位為1就是有調試
    //p_flag 與 P_TRACED =0 就是有調試
    return ((info.kp_proc.p_flag & P_TRACED) !=0);

}

檢測到調試就退出

if (checkDebugger()) {
        asm("mov X0,#0\n"
            "mov w16,#1\n"
            "svc #0x80"
            );

    }

三 針對二 破解sysctl

因為sysctl是系統(tǒng)方法，所以可以被fishhook給hook，所以可以動態(tài)庫注入，hook到sysctl，改變sysctl的查詢結果使用異或取反kp_proc.p_flag

//原始函數(shù)的地址
int (*sysctl_p)(int *, u_int, void *, size_t *, void *, size_t);

//自定義函數(shù)
int mySysctl(int *name, u_int namelen, void *info, size_t *infosize, void *newinfo, size_t newinfosize){
    if (namelen == 4
        && name[0] == CTL_KERN
        && name[1] == KERN_PROC
        && name[2] == KERN_PROC_PID
        && info
        && (int)*infosize == sizeof(struct kinfo_proc))
    {
        int err = sysctl_p(name, namelen, info, infosize, newinfo, newinfosize);
        //拿出info做判斷
        struct kinfo_proc * myInfo = (struct kinfo_proc *)info;
        if((myInfo->kp_proc.p_flag & P_TRACED) != 0){
            //使用異或取反
            myInfo->kp_proc.p_flag ^= P_TRACED;
        }
        return err;
    }
    return sysctl_p(name, namelen, info, infosize, newinfo, newinfosize);
}

+(void)load
{
    //交換
    rebind_symbols((struct rebinding[1]){{"sysctl",mySysctl,(void *)&sysctl_p}}, 1);
}

四 針對三 不讓sysctl失效

可以在fishhook sysctl之前就檢測，使用ptrace的策略一樣，自己寫庫，在庫中每隔一段時間就檢測一下sysctl。因為自己的庫最新被調用。

五 用匯編調用關鍵系統(tǒng)方法

自己庫最新被調用的防護方法，可以符號斷點斷住，然后定位到sysctl的位置，最后改變macho的二進制從而破解，所以通過匯編調用sysctl ptrace exit等是相對安全的
exit：

// 退出程序
#ifdef __arm64__
    asm(
        "mov x0,#0\n"
        "mov w16,#1\n"
        "svc #0x80\n"
        );
#endif
#ifdef __arm__ //32位下
    asm(
        "mov r0,#0\n"
        "mov r12,#1\n"
        "svc #80\n"
        );
#endif