最近有一篇 文章 介紹了如何實(shí)現(xiàn) AppStore App 自動(dòng)下載育苟，筆者看后收獲良多黎棠。不過文中只介紹了如何去模擬用戶的操作來完成下載抖僵，并沒有涉及抹機(jī)鲤看、IP 更換等內(nèi)容。所以筆者打算在此分享一下自己對(duì)這些方面的經(jīng)驗(yàn)耍群。

FBI WARNING

1. 以下內(nèi)容可能會(huì)引起很多人不適义桂，請(qǐng)讀者自酌。
2. 18 歲以下請(qǐng)?jiān)诩议L(zhǎng)陪同下觀看蹈垢！
3. 部分內(nèi)容可能違反你所在地相關(guān)法律慷吊，請(qǐng)謹(jǐn)慎模仿

為什么要修改 iOS Device ID ？

修改設(shè)備唯一可識(shí)別標(biāo)識(shí)可以做很多事前曹抬，比如防止根據(jù) UUID 的追蹤溉瓶，避免大數(shù)據(jù)「殺熟」等。但是在 iOS 設(shè)備上目前想做到修改的前提是越獄谤民，所以為了多領(lǐng)幾個(gè)美團(tuán)紅包而選擇承擔(dān)越獄的風(fēng)險(xiǎn)堰酿，是否值得還是要考慮清楚的。
不過在業(yè)界有大量應(yīng)用這種技術(shù)的產(chǎn)業(yè)张足，比如積分墻触创、ASO 刷榜…… 不過這些產(chǎn)業(yè)就屬于「灰黑產(chǎn)」了，涉及到了原力的黑暗面为牍，所以筆者不建議涉世不深的讀者繼續(xù)閱讀下去嗅榕。

當(dāng)你凝視深淵，深淵也在凝視著你吵聪。

現(xiàn)狀

在開始講如何做之前凌那，筆者決定先簡(jiǎn)單介紹一下業(yè)界現(xiàn)在已經(jīng)能做什么：

一款常見的改機(jī)軟件

如圖所示，這是一款在業(yè)內(nèi)非常常見的改機(jī)軟件吟逝。由于作者不可考（不過理應(yīng)如此帽蝶，畢竟為了自己的人生安全）、源碼遺失、以及 iOS 版本的多次更新励稳，現(xiàn)在已經(jīng)不值錢了佃乘。但是麻雀雖小五臟俱全，它能夠修改設(shè)備的五碼驹尼、機(jī)型趣避、配置 Apple ID 和一鍵越獄等。
前人的成功告訴了我們這是可行的新翎，剩下的只是模仿程帕，因此筆者深入逆向并研究了這款軟件，在當(dāng)我看到了一大堆用匯編寫的混淆之后…… 放棄了地啰。
所以下面的內(nèi)容都是筆者編的愁拭，大家有興趣看個(gè)開心就好，基本上可以點(diǎn)關(guān)閉按鈕了 (●°u°●) 」

如何破解一款程序亏吝？

筆者依稀記得 狗神 在他那本著名的 小黃書 中提到岭埠，逆向一款軟件最重要的不是最終成品的代碼，而是過程的分析與思路蔚鸥。所以經(jīng)诚郏可以看到一款軟件的破解代碼重要的也許只有兩三行，但是過程有多艱辛也許只有破解者才知道止喷。例如破解 Mac 版 QQ 音樂下載需要 VIP 權(quán)限的限制的代碼也許加上注釋也不到一百行：

/* How to Hook with Logos
Hooks are written with syntax similar to that of an Objective-C @implementation.
You don't need to #include <substrate.h>, it will be done automatically, as will
the generation of a class list and an automatic constructor.

%hook ClassName

// Hooking a class method
+ (id)sharedInstance {
    return %orig;
}

// Hooking an instance method with an argument.
- (void)messageName:(int)argument {
    %log; // Write a message about this call, including its class, name and arguments, to the system log.

    %orig; // Call through to the original function with its original arguments.
    %orig(nil); // Call through to the original function with a custom argument.

    // If you use %orig(), you MUST supply all arguments (except for self and _cmd, the automatically generated ones.)
}

// Hooking an instance method with no arguments.
- (id)noArguments {
    %log;
    id awesome = %orig;
    [awesome doSomethingElse];

    return awesome;
}

// Always make sure you clean up after yourself; Not doing so could have grave consequences!
%end
*/


%config(generator = internal)

#import <Foundation/Foundation.h>
#include <substrate.h>

%hook DownLoadTask

- (BOOL)checkHaveRightToDownload:(int)argument {
    return YES;
}

%end

unsigned int (*old_GetFlexBOOL)(int a1, int a2, int a3, int a4, int a5, int a6, int a7, int a8);
unsigned int  new_GetFlexBOOL(int a1, int a2, int a3, int a4, int a5, int a6, int a7, int a8)
{
  return 1;
}

%ctor {
    NSLog(@"!!!!!!inject success!!!!!!!");

    void * Symbol = MSFindSymbol(MSGetImageByName("/Applications/QQMusic.app/Contents/MacOS/QQMusic"), "_GetFlexBOOL");
    MSHookFunction(Symbol, &new_GetFlexBOOL, (void *)&old_GetFlexBOOL);
}

而真正重要的是找出思路和逆向分析的過程馆类，操作系統(tǒng)本質(zhì)上也是一個(gè)軟件，修改 Device ID 其實(shí)和破解一款音樂 VIP 限制本質(zhì)上是一樣的启盛，只是一個(gè)只需要把 checkHaveRightToDownload 的返回值改成 YES ，另一個(gè)則需要與操作系統(tǒng)斗智斗勇罷了技羔。

思路

綜上所述僵闯，在我們對(duì)操作系統(tǒng)下黑手之前應(yīng)該先理清思路。順便再說一次以下內(nèi)容皆是我瞎編的藤滥，如有雷同實(shí)屬巧合：

思路

如圖所示鳖粟，顯而易見，如果只是簡(jiǎn)簡(jiǎn)單單的修改某個(gè) App 中用到的 Device ID拙绊，極大幾率只需要勾住「再封裝的私有 API」就行了向图。

而在眾多私有 API 中，最著名的當(dāng)然是大名鼎鼎的 MGCopyAnswer标沪。

MGCopyAnswer

// Common form: MGCopyAnswer(CFStringRef string);
CFStringRef value = MGCopyAnswer(kMGDeviceColor);
NSLog(@"Value: %@", value);
CFRelease(value);

基本上平時(shí)從 UIDevice 還是其他大部分途徑獲取 Device ID榄攀，皆是通過調(diào)用 libMobileGestalt 中的 MGCopyAnswer 函數(shù)來獲取的。所以只需要勾住 MGCopyAnswer金句，使其返回的 Device ID 為我們所要的值即可檩赢，非常簡(jiǎn)單明了。

不過雖說思路很簡(jiǎn)單违寞，但是一個(gè)萌新想要勾 MGCopyAnswer 還是會(huì)繞很多彎路的贞瞒，比如最常見的就是「掛短鉤」偶房。

掛短鉤

在 ARM64 架構(gòu)下，直接對(duì) MGCopyAnswer 掛鉤的話會(huì)立即使進(jìn)程崩潰 invalid instruction军浆。如果通過反匯編手段分析 libMobileGestalt 庫：

01 00 80 d2        movz x1, #0
01 00 00 14        b    MGCopyAnswer_internal

易知 MGCopyAnswer 實(shí)際上在內(nèi)部調(diào)用了另一個(gè)私有無符號(hào)的函數(shù) MGCopyAnswer_internal 來實(shí)現(xiàn)其功能棕洋。因此 MGCopyAnswer 這個(gè)函數(shù)實(shí)際上非常短，只有 8 個(gè)字節(jié)乒融，而我們使用 Cydia Substrate 對(duì)一個(gè) C 函數(shù)掛鉤的話掰盘，它要求被勾函數(shù)至少有 16 個(gè)字節(jié)。因此直接勾住 MGCopyAnswer 時(shí)簇抵，MGCopyAnswer 函數(shù)地址開始的 16 個(gè)字節(jié)都會(huì)被改為 goto庆杜，從而破壞了相鄰函數(shù)的前 8 個(gè)字節(jié)，使進(jìn)程崩潰碟摆。
因此晃财，當(dāng)我們吭哧吭哧讀完匯編之后，首先想到的方法自然是去勾這個(gè)被調(diào)用的子函數(shù) MGCopyAnswer_internal典蜕，雖說該函數(shù)并沒有符號(hào)断盛，但是在我們吭哧吭哧讀了匯編之后，發(fā)現(xiàn)其函數(shù)地址與 MGCopyAnswer 相差 8 字節(jié)愉舔。故可以很簡(jiǎn)單粗暴的寫出如下代碼：

static CFPropertyListRef (*orig_MGCopyAnswer_internal)(CFStringRef prop, uint32_t* outTypeCode);
CFPropertyListRef new_MGCopyAnswer_internal(CFStringRef prop, uint32_t* outTypeCode) {
    return orig_MGCopyAnswer_internal(prop, outTypeCode);
}

extern "C" MGCopyAnswer(CFStringRef prop);

static CFPropertyListRef (*orig_MGCopyAnswer)(CFStringRef prop);
CFPropertyListRef new_MGCopyAnswer(CFStringRef prop) {
    return orig_MGCopyAnswer(prop);
}

%ctor {
    uint8_t MGCopyAnswer_arm64_impl[8] = {0x01, 0x00, 0x80, 0xd2, 0x01, 0x00, 0x00, 0x14};
    const uint8_t* MGCopyAnswer_ptr = (const uint8_t*) MGCopyAnswer;
    if (memcmp(MGCopyAnswer_ptr, MGCopyAnswer_arm64_impl, 8) == 0) {
        MSHookFunction(MGCopyAnswer_ptr + 8, (void*)new_MGCopyAnswer_internal, (void**)&orig_MGCopyAnswer_internal);
    } else {
        MSHookFunction(MGCopyAnswer_ptr, (void*)new_MGCopyAnswer, (void**)&orig_MGCopyAnswer);
    }
}

顯然這段代碼除了簡(jiǎn)單粗暴钢猛、沒有任何框架檢測(cè)與異常處理之外完美實(shí)現(xiàn)了掛鉤任務(wù)，但是基于相對(duì)偏移量來獲取函數(shù)地址也并不是很穩(wěn)轩缤。

好在張總在他的一篇博文中提到可以使用 Capstone Engine,一款基于 LLVM MC 的多平臺(tái)多架構(gòu)支持的反匯編框架來幫助我們找到 MGCopyAnswer_internal 的「符號(hào)」命迈。

static CFStringRef (*old_MGCA)(CFStringRef Key);
CFStringRef new_MGCA(CFStringRef Key) {
    CFStringRef Ret = old_MGCA(Key);
    NSLog(@"MGHooker:%@\nReturn Value:%@", Key, Ret);
    return Ret;
}

%ctor {
    void *Symbol = MSFindSymbol(MSGetImageByName("/usr/lib/libMobileGestalt.dylib"), "_MGCopyAnswer");
    NSLog(@"MG: %p", Symbol);
    csh           handle;
    cs_insn *     insn;
    cs_insn       BLInstruction;
    size_t        count;
    unsigned long realMGAddress = 0;
    // MSHookFunction(Symbol,(void*)new_MGCA, (void**)&old_MGCA);
    if (cs_open(CS_ARCH_ARM64, CS_MODE_ARM, &handle) == CS_ERR_OK) {
        /*cs_disasm(csh handle,
              const uint8_t *code, size_t code_size,
              uint64_t address,
              size_t count,
              cs_insn **insn);*/
        count = cs_disasm(handle, (const uint8_t *)Symbol, 0x1000, (uint64_t)Symbol, 0, &insn);
        if (count > 0) {
            NSLog(@"Found %lu instructions", count);
            for (size_t j = 0; j < count; j++) {
                NSLog(@"0x%" PRIx64 ":\t%s\t\t%s\n", insn[j].address, insn[j].mnemonic, insn[j].op_str);
                if (insn[j].id == ARM64_INS_B) {
                    BLInstruction = insn[j];
                    sscanf(BLInstruction.op_str, "#%lx", &realMGAddress);
                    break;
                }
            }

            cs_free(insn, count);
        }
        else {
            NSLog(@"ERROR: Failed to disassemble given code!%i \n", cs_errno(handle));
        }

        cs_close(&handle);

        // Now perform actual hook
        MSHookFunction((void *)realMGAddress, (void *)new_MGCA, (void **)&old_MGCA);
    }
    else {
        NSLog(@"MGHooker: CSE Failed");
    }
}

廢話不多說了，我們的正題并不在這里火的。

如何修改 iOS Device ID

接下來的東西我是真的就不會(huì)了壶愤，但是為了不太斧頭蛇尾，我就再瞎掰一段吧馏鹤。
談到修改的話征椒，我們首先要弄清楚的一點(diǎn)是我們打算要從哪一層修改？比如 ECID湃累，眾所周知它是燒在芯片上的勃救。講道理的話要修改 ECID 是要對(duì)硬件動(dòng)手的，但是我們一般不需要做的這么徹底治力，而是結(jié)合具體需求具體分析蒙秒。例如一個(gè)普通、簡(jiǎn)單的積分墻宵统，我們只需要對(duì)積分墻調(diào)用的 MGCopyAnswer 掛鉤税肪，就可以愉快的玩耍了。但是如果想對(duì) AppStore 或者 iTunes 下手呢？自然僅僅勾個(gè) MGCopyAnswer 是不行的益兄。
例如我們想讓手機(jī)連接 iTunes 時(shí)锻梳，iTunes 獲取的 Device ID 是偽造的，那么就需要勾住處理手機(jī)與電腦間 USB 通信的守護(hù)進(jìn)程——比如說 lockdownd净捅。因?yàn)?iTunes 并不會(huì)直接讀取手機(jī)的設(shè)備信息疑枯，而是從手機(jī)上運(yùn)行的守護(hù)進(jìn)程中請(qǐng)求數(shù)據(jù)。那么我們是不是只需要在這個(gè)守護(hù)進(jìn)程安裝一個(gè)鉤子即可蛔六？

typedef void *LockdownConnectionRef;
typedef int   kern_return_t;

typedef unsigned int              __darwin_natural_t;
typedef __darwin_natural_t        __darwin_mach_port_name_t;
typedef __darwin_mach_port_name_t __darwin_mach_port_t;
typedef __darwin_mach_port_t      mach_port_t;
typedef mach_port_t               io_object_t;
typedef io_object_t               io_registry_entry_t;

typedef char         io_name_t[128];
typedef unsigned int IOOptionBits;

static kern_return_t (*oldIORegistryEntryGetName)(io_registry_entry_t entry, io_name_t name);
kern_return_t newIORegistryEntryGetName(io_registry_entry_t entry, io_name_t name) {
    int ret = oldIORegistryEntryGetName(entry, name);
    NSLog(@"\n\nGetName:\n\tentry:%zd\n\tio_name_t%s\n\tret:%d", entry, name, ret);
    return ret;
}

static CFTypeRef (*oldIORegistryEntrySearchCFProperty)(
    io_registry_entry_t entry, const io_name_t plane, CFStringRef key, CFTypeRef allocator, IOOptionBits options);
CFTypeRef newIORegistryEntrySearchCFProperty(
    io_registry_entry_t entry, const io_name_t plane, CFStringRef key, CFTypeRef allocator, IOOptionBits options) {
    CFTypeRef ret = oldIORegistryEntrySearchCFProperty(entry, plane, key, allocator, options);
    NSLog(@"\n\nSearchCFProperty:\n\tkey:%@\n\tret:%@\n\t%lu", key, ret, CFGetTypeID(ret));
    return ret;
}

static CFPropertyListRef (*old_lockdown_copy_value)(LockdownConnectionRef connection,
                                                    CFStringRef           domain,
                                                    CFStringRef           key);
CFPropertyListRef new_lockdown_copy_value(LockdownConnectionRef connection, CFStringRef domain, CFStringRef Key) {
    CFPropertyListRef Ret = old_lockdown_copy_value(connection, domain, Key);
    NSLog(@"LDHooker:%@\nReturn Value:%@", Key, Ret);
    return old_lockdown_copy_value(connection, domain, Key);
}

% ctor {
    void *SymbolGN =
        MSFindSymbol(MSGetImageByName("/System/Library/Frameworks/IOKit.framework/IOKit"), "_IORegistryEntryGetName");
    NSLog(@"GName: %p", SymbolGN);
    MSHookFunction((void *)SymbolGN, (void *)newIORegistryEntryGetName, (void **)&oldIORegistryEntryGetName);

    void *SymbolSC = MSFindSymbol(MSGetImageByName("/System/Library/Frameworks/IOKit.framework/IOKit"),
                                  "_IORegistryEntrySearchCFProperty");
    NSLog(@"SPropertey: %p", SymbolSC);
    MSHookFunction(
        (void *)SymbolSC, (void *)newIORegistryEntrySearchCFProperty, (void **)&oldIORegistryEntrySearchCFProperty);
    }
    else {
        NSLog(@"MGHooker: CSE Failed");
    }
}

其實(shí)我想大家應(yīng)該猜到我下面想做什么了荆永，既然都已經(jīng)對(duì)守護(hù)進(jìn)程下手了，要不干脆我們自己也開一個(gè)守護(hù)進(jìn)程的了国章，加個(gè) root 權(quán)限具钥，對(duì)所有其他進(jìn)程安裝鉤子，如果調(diào)用了 Device ID 相關(guān)的 API液兽，把返回值魔改掉骂删，豈不美滋滋！代碼如下：

#import <Foundation/Foundation.h>

int main(int argc, const char * argv[]) {
    @autoreleasepool {
        // 紅紅火火恍恍惚惚
        NSLog(@"想不到吧四啰，這次我真的編不出來了??");
    }
    return 0;
}

那么今天的代碼就寫到這里了宁玫，下臺(tái)鞠躬！

注：以上所有代碼全是瞎掰柑晒，如能運(yùn)行欧瘪，純屬巧合。

如何實(shí)現(xiàn) AppStore App 的自動(dòng)下載

Hooking MGCopyAnswer Like A Boss