下載的非越獄應(yīng)用都是經(jīng)過加密的，加密后可以保證一定的安全性评也，但是對(duì)于逆向開發(fā)的人來說炼杖，加密應(yīng)用無(wú)法進(jìn)行靜態(tài)分析，也無(wú)法導(dǎo)出類信息等盗迟。加密對(duì)應(yīng)著解密坤邪，也就是我們常說的應(yīng)用砸殼。
應(yīng)用砸殼分為兩種：靜態(tài)砸殼和動(dòng)態(tài)砸殼罚缕。
- 靜態(tài)砸殼：只有了解了應(yīng)用的加密算法和邏輯才可以在不運(yùn)行應(yīng)用的前提下進(jìn)行解密操作艇纺，這種方式操作難度大。
- 動(dòng)態(tài)砸殼：運(yùn)行應(yīng)用程序邮弹，從內(nèi)存中讀取可執(zhí)行文件對(duì)應(yīng)的區(qū)域黔衡，這種方法簡(jiǎn)單且不需要了解應(yīng)用的加密方式。
一肠鲫、iOS 應(yīng)用運(yùn)行原理
加密應(yīng)用 --> 系統(tǒng)內(nèi)核對(duì)加密應(yīng)用進(jìn)行解密 --> dyld 加載解密后的 Mach-O 文件 --> 內(nèi)存中某個(gè)區(qū)域存在解密后的可執(zhí)行文件數(shù)據(jù)
應(yīng)用運(yùn)行原理.png
二员帮、砸殼方式
這里只討論動(dòng)態(tài)砸殼，原理都是從內(nèi)存中讀取解密后的數(shù)據(jù),動(dòng)態(tài)砸殼有以下四種砸殼工具：
- Clutch
- dumpdecrypted
- frida-ios-dump
1导饲、利用 Clutch 砸殼
- 首先下載 Clutch 發(fā)布版本 Clutch.png
- 將 Clutch 文件復(fù)制到越獄手機(jī)
/usr/bin/文件夾下
wifi
scp Clutch root@<your.device.ip>:/usr/bin/Clutch
usb
iproxy 2222 22
scp -P 2222 Clutch root@localhost:/usr/bin/Clutch
-
設(shè)置手機(jī)中的 Clutch 具有可執(zhí)行權(quán)限 添加可執(zhí)行權(quán)限.png
- 在越獄手機(jī)上運(yùn)行要砸殼的應(yīng)用捞高，然后使用
Clutch -i命令查看可砸殼的應(yīng)用列表可砸殼應(yīng)用列表.png - 使用
Clutch -d BundleId或Clutch -d 序號(hào)命令進(jìn)行砸殼砸殼.png - 將砸殼后的應(yīng)用保存到電腦上，手機(jī)上需要安裝 Apple File Conduit渣锦，Mac 上需要安裝 ** iFunBox** 拷貝到電腦.png
2硝岗、利用 dumpdecrypted 砸殼
- 下載 dumpdecrypted,使用
make命令生成 dylib 動(dòng)態(tài)庫(kù)image.png - 將 dumpdecrypted.dylib 復(fù)制到手機(jī)
~/目錄下
scp -P 2222 dumpdecrypted.dylib root@localhost:~/dumpdecrypted.dylib
-
連接手機(jī)打開APP,查看 APP 路徑 查看 APP 路徑.png
- 進(jìn)入手機(jī) ~/ 目錄,對(duì)砸殼應(yīng)用動(dòng)態(tài)注入 dumpdecrypted.dylib，命令如下：
DYLD_INSERT_LIBRARIES=dumpdecrypted.dylib 應(yīng)用路徑
動(dòng)態(tài)注入.png
.decrypted 為后綴的就是我們解密后的可執(zhí)行文件
3袋毙、利用 frida-ios-dump 砸殼
- 安裝 python(MAC自帶) 和 pip
sudo easy_install pip
- 安裝 frida
sudo pip install frida-tools
- 手機(jī)安裝 ** Frida**
- 打開 Cydia 添加軟件源 https://build.frida.re
- 搜索安裝Firda?
- 連接手機(jī)查看當(dāng)前進(jìn)程型檀，在 Mac 中輸入
frida-ps -U可以查看手機(jī)當(dāng)前的進(jìn)程當(dāng)前進(jìn)程.png - 下載 frida-ios-dump ,修改 dump.py 文件中用戶名密碼端口號(hào) 修改dump.png
- 執(zhí)行
./dump.py DisplayName進(jìn)行砸殼砸殼.png
三、砸殼腳本
個(gè)人比較傾向使用 frida-ios-dump 砸殼听盖，所以這里介紹的砸殼腳本就以 frida-ios-dump 為基礎(chǔ)胀溺。
- 首先建立一個(gè)存放腳本的文件夾，然后創(chuàng)建 shell 腳本
dump.sh,下面是本人的腳本內(nèi)容：
/Users/sun/SunShell/frida-ios-dump/dump.py $1
// 前面路徑為 dump.py 絕對(duì)路徑
- 配置腳本可以全局使用皆看，打開
~/.bash_profile配置全局搜索路徑
export SUNSHELL=~/SunShell #自定義腳本文件夾
export PATH=$PATH:$SUNSHELL
- 配置好后就可以在任意文件夾下使用
dump.sh DisplayName命令進(jìn)行砸殼
四仓坞、導(dǎo)出類信息
砸殼完了以后我們就可以導(dǎo)出應(yīng)用中的類信息了。
- 下載 class-dump
- 使用 class-dump 命令導(dǎo)出頭信息
Usage: class-dump [options] <mach-o-file>
where options are:
-a show instance variable offsets
-A show implementation addresses
--arch <arch> choose a specific architecture from a universal binary (ppc, ppc64, i386, x86_64)
-C <regex> only display classes matching regular expression
-f <str> find string in method name
-H generate header files in current directory, or directory specified with -o
-I sort classes, categories, and protocols by inheritance (overrides -s)
-o <dir> output directory used for -H
-r recursively expand frameworks and fixed VM shared libraries
-s sort classes and categories by name
-S sort methods by name
-t suppress header in output, for testing
--list-arches list the arches in the file, then exit
--sdk-ios specify iOS SDK version (will look in /Developer/Platforms/iPhoneOS.platform/Developer/SDKs/iPhoneOS<version>.sdk
--sdk-mac specify Mac OS X version (will look in /Developer/SDKs/MacOSX<version>.sdk
--sdk-root specify the full SDK root path (or use --sdk-ios/--sdk-mac for a shortcut)
打開命令行進(jìn)入 class-dump 所在的目錄下腰吟，執(zhí)行 ./class-dump --arch arm64 TargetAppMach-O -H -o ./Headers 命令導(dǎo)出頭文件到 Headers 文件夾下无埃。
同樣我也寫了一個(gè)全局的導(dǎo)出類信息的腳本：
# 第一個(gè)參數(shù)是可執(zhí)行文件名稱
# 第二個(gè)參數(shù)是輸出文件夾，可選
# 第三個(gè)參數(shù)是架構(gòu)類型毛雇，可選嫉称，默認(rèn)是arm64
outputName="./$1_Headers"
cpu_arch="arm64"
if [ $2 ]; then
outputName=$2
fi
if [ $3 ]; then
cpu_arch=$3
fi
/Users/sun/SunTool/class-dump --arch ${cpu_arch} $1 -H -o ${outputName}
腳本使用方式 class-dump.sh NewsLite 或 class-dump.sh NewsLite Headers 或 class-dump.sh NewsLite arm64
