一，工具
Mac工具：
Theos 制作Tweak的工具
hopper disassembler 靜態(tài)分析工具
usbmuxd 端口轉(zhuǎn)發(fā)，使用USB連接ssh,lldb等
class-dump dump目標(biāo)的class信息，頭文件
lldb 調(diào)試工具（安裝Xcode自帶）
dumpdecrypted 砸殼
iOS工具：
openssh ssh連接設(shè)備
cycript 腳本語言，hook正在運(yùn)行的進(jìn)程，實(shí)時(shí)注入代碼
ondeviceconsole 查看iOS log
debugserver 連接手機(jī)進(jìn)行l(wèi)ldb調(diào)試的工具（需Xcode真機(jī)調(diào)試生成）
使用 debugserver 需要先進(jìn)行處理。因?yàn)槿鄙?task_for_pid 權(quán)限，所以調(diào)試不了其他的 app
通過ssh把debugserver拷出來 ? 位置/Developer/usr/bin/debugserver
（注意scp指定端口- P跟在scp命令后面）
減肥 ?lipo ?-thin armv7 ~/debugserver -output ~/debugserver ?//看情況 armv7s 或arm64
使用ldid與ent簽名 ldid - Sent.xml debugserver （-S為參數(shù)，ent.xml為文件，中間沒有空格）
拷貝至設(shè)備原位置
二，分析
實(shí)現(xiàn)自動(dòng)添加好友，則要拿到獲取好友請(qǐng)求的方法，以及添加好友的方法。hook 獲取好友請(qǐng)求的方法，在接收到好友請(qǐng)求的時(shí)候，執(zhí)行添加好友的方法。而這些主要邏輯在“新的朋友”界面。
定位好友請(qǐng)求方法
2.1 UI分析
拿到方法實(shí)現(xiàn)的 ViewController。
打開“新的朋友”界面，
使用usbmuxd進(jìn)行端口轉(zhuǎn)發(fā)（避免ssh使用wifi連接帶來的問題）python tcprelay.py -t 22:2222
使用ssh連接設(shè)備 ssh root@localhost -p 2222 ? // alpine為越獄設(shè)備初始密碼
查看進(jìn)程信息 ps -e |grep WeChat?
cycript注入 cycript -p WeChat ? //輸入pid也可
查看當(dāng)前UI布局 cy# UIApp.keyWindow.recursiveDescription().toString()
因?yàn)橹喇?dāng)前的視圖有tableview，所以找到tableview的對(duì)象，上圖可以看到該對(duì)象的地址為0x16a6ea00在使用nextResponder()根據(jù)響應(yīng)者往上找當(dāng)前的控制器。
找到當(dāng)前的控制器，為SayHelloViewController
2.2 log分析
2.21 dumpdecrypted砸殼
使用class-dumpdump 出微信的 class 信息，頭文件，class-dump無法作用于加密過的App。所以，要想獲取頭文件，首先得破解加密的可執(zhí)行文件，俗稱”砸殼”。
首先下載編譯，最后生成了dumpdecrypted.dylib文件. 這個(gè)就是等會(huì)需要用到的砸殼文件。以后可重復(fù)使用。
用ps -e命令找到所有進(jìn)程，手機(jī)只開一個(gè)App，所以含有/var/mobile路徑的就是可執(zhí)行文件的路徑，定位需要砸殼的可執(zhí)行文件位置，cycript調(diào)試
定位Doucument目錄位置 ? ?cy# ?[[NSFileManager defaultManager] URLsForDirectory:NSDocumentDirectory inDomains:NSUserDomainMask][0]
將dumpdecrypted.dylib拷貝到Document目錄下面
進(jìn)入Document目錄下面，執(zhí)行DYLD_INSERT_LIBRARIES=dumpdecrypted.dylib相關(guān)命令
DYLD_INSERT_LIBRARIES=dumpdecrypted.dylib /var/mobile/Applications/XXXX-XXXX-XXXX-XXXX-XXXXXXXX/XXXXX.app/XXXX ? ? ? ? ? ? ? ? //即可執(zhí)行文件位置，可直接拷貝
沙盒以外的大多數(shù)文件沒有寫權(quán)限，dumpdecrypted.dylib要寫一個(gè)decrypted文件, 它是運(yùn)行在商店app中的，需要與商店里面的app權(quán)限相同，所以寫操作必須發(fā)生在有寫權(quán)限的路徑下才能成功。
完成后生成app砸殼后的文件xxx.decrypted? 可使用class-dump IDA hopper disassembler 靜態(tài)分析工具等
2.22 生成Tweak.xm
使用class-dump dump 出 class 信息：
class-dump -S -s -H XXX.decrypted ?-o ?~/Document/headers/ ??
使用 theos 的 logify 工具，該工具用來注入NSLog來打印方法的入?yún)⒑统鰠ⅰ?br>
logify.pl ?/headers/SayHelloViewController.h > ~/Desktop/Tweak.xm
參考：
一般該Tweak.xm仍然無法執(zhí)行，需要進(jìn)行修改：
去掉.cxx_destruct 方法
將HBLogDebug 改為NSLog
去掉所有的delegate
將所有的參數(shù)對(duì)象類型改成id
去掉所有的weak
2.23使用theos配置tweak工程
目錄下面啟動(dòng)NIC /opt/theos/bin/nic.pl ?選擇Tweak
輸入工程的名字? 輸入deb包的名字，相當(dāng)于App的bundle id
輸入tweak作者的名字
輸入MobileSubstrate Bundle filter，就是設(shè)置tweak作用對(duì)象的bundle identifier ? ? ? ? ? ? 例如[com.apple.springboard]?
擴(kuò)展一些cycript操作：
獲取bundle id：[[NSBundle mainBundle] bundleIdentifier]
獲取版本號(hào)：[[[NSBundle mainBundle]infoDictionary] objectForKey:@"CFBundleShortVersionString"];
[[NSBundle mainBundle]infoDictionary] 獲得的是一個(gè)字典，里邊放著Info.plist文件中的各種信息，根據(jù)不同的鍵去即可，如：
CFBundleDevelopmentRegion
CFBundleDisplayName
CFBundleExecutable
CFBundleExecutablePath
CFBundleIdentifier
CFBundleInfoDictionaryVersion = "6.0";
CFBundleInfoPlistURL
CFBundleName
CFBundlePackageType
CFBundleShortVersionString
CFBundleSignature
CFBundleSupportedPlatforms
最后需要輸入安裝完成后需要重啟的應(yīng)用，可直接-
接下來定制工程文件
Makefile：指定工程用到的文件、框架、庫等信息，整個(gè)過程自動(dòng)化。可添加
ARCHS = armv7 arm64
指定處理器架構(gòu)，arm64架構(gòu)不兼容armv7/armv7s架構(gòu),必須適配arm64的dylib
TARGET = iphone:latest:8.0?
格式為 平臺(tái)：Xcode附帶SDK版本：可部署安裝等版本
XXX_FRAMEWORKS = UIKit CoreTelephony? ? (UIKit) ? ? ?導(dǎo)入framework
XXX_PRIVATE_FRAMEWORK = AppSupport ChatKit ?(XXXX) ? ? 導(dǎo)入私有framework
THEOS_DEVICE_IP =192.168.1.100? ? ? ? 指定安裝的手機(jī)ip（ssh）
Tweak.xm 是tweak工程默認(rèn)生成的源文件，x表示支持Logos語法，具體如下：
%hook: 指定需要hook的class，必須以%end結(jié)尾
%log: 在%hook函數(shù)內(nèi)部使用，將函數(shù)的類名、參數(shù)等信息輸出，還能夠在結(jié)尾輸出自定義格式信息
%orig: 執(zhí)行被hook住的源代碼，更改原始函數(shù)的參數(shù)
%group:將%hook分組，以%end結(jié)尾。便于代碼管理及按條件初始化，不屬于自定義的group都會(huì)隱式歸類到%group_ungrouped中。 必須配合下面的%init命令才能生效
%init: 初始化某個(gè)group，必須在hook或%ctor內(nèi)調(diào)用。如果帶參數(shù)，則初始化指定的group。不帶參數(shù)則初始化_ungrouped。 只有調(diào)用了%init，group才能生效
%ctor: 一個(gè)構(gòu)造器，完成初始化工作。如果不顯示定義，Theos自動(dòng)生成一個(gè)%ctor。并在其中調(diào)用%init(_ungrouped),%ctor不需要%end結(jié)尾
%new: 給一個(gè)現(xiàn)有的class添加新函數(shù),功能與class_addMethod相同
%c: 等同于objc_getClass或者NSClassFromString, 動(dòng)態(tài)獲取一個(gè)類的定義,在%hook或%ctor內(nèi)使用
reverseDemo.plist 記錄一些配置信息，描述tweak的作用范圍。其實(shí)就是一個(gè)字典。
control記錄了deb包管理系統(tǒng)所需的基本信息, 會(huì)被打包進(jìn)deb里。這里有debian官方文檔http://www.debian.org/doc/debian-policy/ch-controlfields.html
2.24 打包安裝
make package ? //打包
安裝dpkg，能夠把你的app打包成Debian Package,可以分發(fā)到Cydia的存儲(chǔ)目錄中。
注意版本固定到1.18.10 不然報(bào)錯(cuò)
引用解決辦法：
brew remove dpkg
HOMEBREW_NO_AUTO_UPDATE=1 brew install https://raw.githubusercontent.com/Homebrew/homebrew-core/7a4dabfc1a2acd9f01a1670fde4f0094c4fb6ffa/Formula/dpkg.rb
brew pin dpkg
若想重新編譯或打包，可以使用make clean清理make, make package生成的文件
make package install ? //安裝
一切正常的話你就會(huì)在cydia->已安裝->最近 看到你的插件
