1. 準備：
- mac電腦
- 越獄好的手機
- 一個待分析的app
2. app砸殼
文章參考http://www.reibang.com/p/80c1311530c3
3. 反編譯出頭文件
文章參考http://www.reibang.com/p/c4272fce6703
4. frida安裝
電腦直接運行以下命令
pip install frida-tools
參考官方
https://frida.re/docs/ios/
手機端打開Cydia搜索frida安裝
5. frida-ps使用
# 將Frida通過USB連接到iPad际邻，并列出正在運行的進程
frida-ps -U
# 運行中的應用程序列表
frida-ps -Ua
# 已安裝的應用程序列表
frida-ps -Uai
# 把Frida連接到特定的設備上
frida-ps -D 0216027d1d6d3a03
6. 分析砸殼之后導出的頭文件
這一步只能靠日常經驗去猜邪财，比如接口請求一般都是request碾牌、response等關鍵字缸逃。
或者結合android端的命名（前提分析了android的APP）
7. 結合frida-trace去分析
官方文檔https://frida.re/docs/frida-trace/
比如下面的命令
frida-trace -m "+[JDYUserContextManager sharedInstance]" -U 千牛
追蹤JDYUserContextManager類，sharedInstance方法的調用
也可以使用*模糊追蹤春寿，比如
-m 包含指定方法
-M 排除指定方法
-U usb連接
frida-trace -m "+[JDYUserContextManager shared*]" -U 千牛
8. frida代碼的編寫
新建兩個文件
qianniu.py
import frida, sys #導入frida模塊
script = 'qianniu.js' #準備執(zhí)行的frida javaScript腳本
bundle = 'com.taobao.sellerplatform' #準備hook的app的bundleId
f = open(script, "r") #打開frida腳本
s = f.read() #讀取frida腳本
device = frida.get_usb_device(1000) #連接usb設備 1000表示超時
pid = device.spawn([bundle]) #啟動指定bundleId的app
session = device.attach(pid) #附加到app
script = session.create_script(s) #創(chuàng)建frida javaScript腳本
script.load() #load腳本到app進程中 這樣即注入成功
device.resume(pid) #恢復app運行
sys.stdin.read()#讀取打印日志
qianniu.js
if(ObjC.available){ //判斷Object-C類方法是否已經加載進來
console.log('hello world!')
}
9. hook指定方法
// 普通參數(shù)
function hook01(){
let class_name = 'JDYUserContextManager'
let method = '+ sharedInstance'
let sharedInstance = ObjC.classes[class_name][method]
let oldImpl = sharedInstance.implementation
sharedInstance.implementation = ObjC.implement(sharedInstance,function(handle,selector,arg1,arg2){
// 如果有參數(shù)的話，就是第三個參數(shù)為該方法的第一個參數(shù)：args[n-2]
// 查看值
console.log("arg1",new ObjC.Object(arg1))
let result = oldImpl(handle,selector,arg1,arg2)
return result
})
}
// 參數(shù)類型為NSStackBlock
let method = '+ autoLogin:session:callBack:'
let impl = ObjC.classes.ALBBSessionRpcService[method]
const oldImpl = impl.implementation;
impl.implementation = ObjC.implement(impl, function(handle,selector,arg1,arg2,arg3) {
try{
console.log("arg1",new ObjC.Object(arg1))
console.log("arg2",arg2,JSON.stringify(new ObjC.Object(arg2)))
console.log("arg3",arg3,new ObjC.Object(arg3)) //此參數(shù)為NSStackBlock
var block = new ObjC.Block(arg3);
const appCallback = block.implementation;
block.implementation = function (resp) {
console.log(resp) // ALBBResponse
const result = appCallback(resp);
return result;
};
var ret = oldImpl(handle,selector,arg1,arg2,arg3);
// console.log(ret)
}catch(err){
console.log(err)
}
return ret
});
設置屬性@property
let obj = ObjC.classes.ALBBRPCInfo['new']()
obj.token()； // 獲取屬性
obj['setToken:']('token值') // 設置屬性
創(chuàng)建String類型
let arg1 = ObjC.classes.NSString['alloc']()['initWithString:']('我的字符串參數(shù)')
創(chuàng)建Block
const pendingBlocks = new Set();
let newReplyBlock = new ObjC.Block({
// 類型簽名钥平，可以通過hook指定方法的block參數(shù)打印new ObjC.Block(resultCallback).types
types:'v12@?0B8',
implementation: function () {
pendingBlocks.delete(newReplyBlock);
}
});
獲取指定類型的簽名
ObjC.classes.Foo['- connection:didReceiveResponse:'].types
// 或
new ObjC.Block(resultCallback).types
獲取指定對象的參數(shù)列表
obj.$ivars
10. 調用指定方法
-
代碼1
需要調用類的頭文件
@interface ALBBSessionModel : NSObject
{
}
+ (id)getUserId;
調用代碼
let userid = new ObjC.Object(ObjC.classes.ALBBSessionModel['+ getUserId']())
-
代碼2
需要調用類的頭文件
@interface JDYLoginCenterProtocolIMP : NSObject <JDYLoginCenterProtocol, JDYILoginService>
{
}
- (void)fastSwitchUserWithUserId:(id)arg1 resultCallback:(CDUnknownBlockType)arg2;
調用代碼
let userid = ObjC.classes.NSString['alloc']()['initWithString:']('3109007973')
const pendingBlocks = new Set();
var newReplyBlock = new ObjC.Block({
types:'v12@?0B8',
implementation: function () {
pendingBlocks.delete(newReplyBlock);
}
});
let obj = ObjC.classes.JDYLoginCenterProtocolIMP['new']()
obj['- fastSwitchUserWithUserId:resultCallback:'](userid,newReplyBlock)
11. 日志查看
安裝
brew install libimobiledevice
idevicesyslog日志查看工具
查看幫助
idevicesyslog --help
匹配關鍵字
idevicesyslog -m JDYLoginCenterProtocolIMP
idevicesyslog -m qiange.dylib
更多關于frida的學習，可以參考
https://codeshare.frida.re/
