Cycript簡(jiǎn)介
Cycript是Objective-C++坤候、ES6（JavaScript）照卦、Java等語(yǔ)法的混合物
可以用來(lái)探索爬范、修改痪宰、調(diào)試正在運(yùn)行的Mac\iOS APP行疏，通過(guò)Cydia安裝Cycript匆光，即可在iPhone上調(diào)試運(yùn)行中的APP
官網(wǎng)和文檔
Cycript的各種操作介紹
Cycript的開(kāi)啟和關(guān)閉
- 開(kāi)啟cycript
cycript -p 進(jìn)程ID
cycript -p 進(jìn)程名稱 - 取消輸入：Ctrl + C
- 退出：Ctrl + D
- 清屏：Command + R
ps命令
需要安裝adv-cmds，是作者自己開(kāi)發(fā)的
ps命令是process status的縮寫(xiě)酿联，使用ps命令可以列出系統(tǒng)當(dāng)前的進(jìn)程
列出所有的進(jìn)程
ps –A
ps aux
搜索關(guān)鍵詞
ps –A | grep 關(guān)鍵詞
常用語(yǔ)法
- UIApp == [UIApplication sharedApplication]
- 定義變量：var 變量名 = 變量值
- 用內(nèi)存地址獲取對(duì)象：#內(nèi)存地址
- 已加載的所有OC類：ObjectiveC.classes
- 查看對(duì)象的所有成員變量：*對(duì)象
- 遞歸打印view的所有子控件（跟LLDB一樣的函數(shù)）：view.recursiveDescription().toString()
- 篩選出某種類型的對(duì)象：choose(UIViewController)终息、choose(UITableViewCell)
封裝Cycript
.cy文件編寫(xiě)
我們可以將常用的Cycript代碼封裝在一個(gè).cy文件中
exports參數(shù)名固定夺巩，用于向外提供接口存放和使用.cy文件
將.cy文件存放到/usr/lib/cycript0.9目錄下
在Cycript中引用.cy文件，并使用它提供的接口
@import XXX
MJCript
具體用法參考mjcript.cy文件
利用python打印字符
$ python
>>> print u'\u767b\u5f55'
>>> unicode('登錄','UTF-8')
Reveal
Reveal是一款調(diào)試iOS程序UI界面的神器官網(wǎng)-下載地址
建議下載至少Reveal4版本周崭，支持USB連接調(diào)試柳譬，速度快。低版本的只能WiFi連接調(diào)試
iPhone上安裝Reveal Loader
不要安裝其他源的版本续镇，有可能不支持新版Reveal
安裝完Reveal Loader后美澳，打開(kāi)【設(shè)置】，選擇需要調(diào)試的APP
找到Mac的Reveal中的RevealServer文件摸航，覆蓋iPhone的/Library/RHRevealLoader/RevealServer文件
重啟SpringBoard或者重啟手機(jī)人柿，可以在iPhone上輸入終端命令
重啟SpringBoard：killall SpringBoard
重啟手機(jī)：reboot
逆向APP的思路
- 界面分析
Cycript、Reveal - 代碼分析
對(duì)Mach-O文件的靜態(tài)分析
MachOView忙厌、class-dump凫岖、Hopper Disassembler、ida等 - 動(dòng)態(tài)調(diào)試
對(duì)運(yùn)行中的APP進(jìn)行代碼調(diào)試
debugserver逢净、LLDB - 代碼編寫(xiě)
注入代碼到APP中
必要時(shí)還可能需要重新簽名哥放、打包ipa
class-dump
它的作用就是把Mach-O文件的class信息給dump出來(lái)（把類信息給導(dǎo)出來(lái)），生成對(duì)應(yīng)的.h頭文件官方地址
下載完工具包后將class-dump文件復(fù)制到Mac的/usr/local/bin目錄爹土，這樣在終端就能識(shí)別class-dump命令了
常用格式
- class-dump -H Mach-O文件路徑 -o 頭文件存放目錄
- -H表示要生成頭文件
- -o用于制定頭文件的存放目錄
在同一種架構(gòu)平臺(tái)下甥雕，每一條匯編指令都有與之對(duì)應(yīng)的唯一的機(jī)器指令
不同的OC代碼，編譯出來(lái)的匯編代碼可能是一樣的,所以從匯編到高級(jí)語(yǔ)言是不可逆的
Hopper Disassmbler
能夠?qū)ach-O文件的機(jī)器語(yǔ)言代碼反編譯成匯編代碼胀茵、OC偽代碼或者Swift偽代碼
常用快捷鍵
- Shift + Option + X：找出哪里引用了這個(gè)方法
動(dòng)態(tài)庫(kù)共享緩存（dyld shared cache）
從iOS3.1開(kāi)始社露，為了提高性能，絕大部分的系統(tǒng)動(dòng)態(tài)庫(kù)文件都打包存放到了一個(gè)緩存文件中（dyld shared cache）
緩存文件路徑：/System/Library/Caches/com.apple.dyld/dyld_shared_cache_armX
dyld_shared_cache_armX的X代表ARM處理器指令集架構(gòu)
- v6
iPhone琼娘、iPhone3G
iPod Touch峭弟、iPod Touch2 - v7
iPhone3GS、iPhone4脱拼、iPhone4S
iPad瞒瘸、iPad2、iPad3(The New iPad)
iPad mini
iPod Touch3G熄浓、iPod Touch4情臭、iPod Touch5 - v7s
iPhone5、iPhone5C
iPad4 - arm64
iPhone5S赌蔑、iPhone6俯在、iPhone6 Plus、iPhone6S娃惯、iPhone6S Plus
iPhoneSE跷乐、iPhone7、iPhone7 Plus石景、iPhone8劈猿、iPhone8 Plus、iPhoneX
iPad5潮孽、iPad Air揪荣、iPad Air2、iPad Pro往史、iPad Pro2
iPad mini with Retina display仗颈、iPad mini3、iPad mini4
iPod Touch6
所有指令集原則上都是向下兼容的
動(dòng)態(tài)庫(kù)共享緩存一個(gè)非常明顯的好處是節(jié)省內(nèi)存
現(xiàn)在的ida椎例、Hopper反編譯工具都可以識(shí)別動(dòng)態(tài)庫(kù)共享緩存
動(dòng)態(tài)庫(kù)的加載
在Mac\iOS中挨决，是使用了/usr/lib/dyld程序來(lái)加載動(dòng)態(tài)庫(kù)
dyld dyld源碼
dynamic link editor，動(dòng)態(tài)鏈接編輯器
dynamic loader订歪，動(dòng)態(tài)加載器
從動(dòng)態(tài)庫(kù)共享緩存抽取動(dòng)態(tài)庫(kù)
可以使用dyld源碼中的launch-cache/dsc_extractor.cpp
將#if 0前面的代碼刪除（包括#if 0）脖祈，把最后面的#endif也刪掉
編譯dsc_extractor.cppclang++ -o dsc_extractor dsc_extractor.cpp
使用dsc_extractor
./dsc_extractor 動(dòng)態(tài)庫(kù)共享緩存文件的路徑 用于存放抽取結(jié)果的文件夾
Mach-O
Mach-O是Mach object的縮寫(xiě)，是Mac\iOS上用于存儲(chǔ)程序刷晋、庫(kù)的標(biāo)準(zhǔn)格式
屬于Mach-O格式的文件類型有
可以在xnu源碼中盖高，查看到Mach-O格式的詳細(xì)定義
EXTERNAL_HEADERS/mach-o/fat.h
EXTERNAL_HEADERS/mach-o/loader.h
常見(jiàn)的Mach-O文件類型
MH_OBJECT
目標(biāo)文件（.o）
靜態(tài)庫(kù)文件(.a），靜態(tài)庫(kù)其實(shí)就是N個(gè).o合并在一起MH_EXECUTE：可執(zhí)行文件
.app/xxMH_DYLIB：動(dòng)態(tài)庫(kù)文件
.dylib
.framework/xxMH_DYLINKER：動(dòng)態(tài)鏈接編輯器
/usr/lib/dyldMH_DSYM：存儲(chǔ)著二進(jìn)制文件符號(hào)信息的文件
.dSYM/Contents/Resources/DWARF/xx（常用于分析APP的崩潰信息）
在Xcode中查看target的Mach-O類型:Build Setting 中 Mach-O Type
Mach-O的基本結(jié)構(gòu)
官方描述
一個(gè)Mach-O文件包含3個(gè)主要區(qū)域
- Header
文件類型眼虱、目標(biāo)架構(gòu)類型等 - Load commands
描述文件在虛擬內(nèi)存中的邏輯結(jié)構(gòu)喻奥、布局(描述有哪些段) - Raw segment data
在Load commands中定義的Segment的原始數(shù)據(jù)
窺探Mach-O的結(jié)構(gòu)
命令行工具
file：查看Mach-O的文件類型
file 文件路徑otool：查看Mach-O特定部分和段的內(nèi)容
lipo：常用于多架構(gòu)Mach-O文件的處理
查看架構(gòu)信息：lipo -info 文件路徑
導(dǎo)出某種特定架構(gòu)：lipo 文件路徑 -thin 架構(gòu)類型 -output 輸出文件路徑
合并多種架構(gòu)：lipo 文件路徑1 文件路徑2 -output 輸出文件路徑
GUI工具:MachOView
Universal Binary（通用二進(jìn)制文件）
同時(shí)適用于多種架構(gòu)的二進(jìn)制文件
包含了多種不同架構(gòu)的獨(dú)立的二進(jìn)制文件
因?yàn)樾枰獌?chǔ)存多種架構(gòu)的代碼，通用二進(jìn)制文件通常比單一平臺(tái)二進(jìn)制的程序要大
由于兩種架構(gòu)有共同的一些資源捏悬，所以并不會(huì)達(dá)到單一版本的兩倍之多
由于執(zhí)行過(guò)程中撞蚕，只調(diào)用一部分代碼，運(yùn)行起來(lái)也不需要額外的內(nèi)存
因?yàn)槲募仍瓉?lái)的要大过牙，也被稱為“胖二進(jìn)制文件”（Fat Binary）
dyld和Mach-O
dyld用于加載以下類型的Mach-O文件
- MH_EXECUTE
- MH_DYLIB
- MH_BUNDLE
APP的可執(zhí)行文件甥厦、動(dòng)態(tài)庫(kù)都是由dyld負(fù)責(zé)加載的
脫殼加殼
什么是加殼？
利用特殊的算法寇钉，對(duì)可執(zhí)行文件的編碼進(jìn)行改變（比如壓縮矫渔、加密），以達(dá)到保護(hù)程序代碼的目的
什么是脫殼摧莽？
摘掉殼程序庙洼，將未加密的可執(zhí)行文件還原出來(lái)（有些人也稱為“砸殼”）
脫殼主要有2種方法：硬脫殼、動(dòng)態(tài)脫殼
iOS中的脫殼工具
iOS中有很多好用的脫殼工具
- Clutch：https://github.com/KJCracks/Clutch（有時(shí)候會(huì)報(bào)錯(cuò)）
- dumpdecrypted：https://github.com/stefanesser/dumpdecrypted/（現(xiàn)在最好用的）
- AppCrackr镊辕、Crackulous（基本不用了）
如何驗(yàn)證可執(zhí)行文件是否已經(jīng)脫殼油够？
通過(guò)Hopper查看Load Commands -> LC_ENCRYPTION_INFO -> Crypt ID的值，0代表未加密
通過(guò)otool命令行也可以：otool -l 可執(zhí)行文件路徑 | grep crypt
Clutch - 配置
下載最新的Release版
建議去掉版本號(hào)征懈，改名為Clutch
將Clutch文件拷貝到iPhone的/usr/bin目錄
如果在iPhone上執(zhí)行Clutch指令石咬，權(quán)限不夠，賦予“可執(zhí)行的權(quán)限”
Clutch – 使用
列出已安裝的APP：Clutch -i
輸入APP序號(hào)或者Bundle Id進(jìn)行脫殼操作：Clutch -d APP序號(hào)或BundleId
脫殼成功后會(huì)生成一個(gè)ipa文件
dumpdecrypted
下載源代碼卖哎，然后在源代碼目錄執(zhí)行make指令進(jìn)行編譯鬼悠，獲得dylib動(dòng)態(tài)庫(kù)文件
將dylib文件拷貝到iPhone上（如果是root用戶删性，建議放/var/root目錄）
終端進(jìn)入dylib所在的目錄
使用環(huán)境變量DYLD_INSERT_LIBRARIES將dylib注入到需要脫殼的可執(zhí)行文件（可執(zhí)行文件路徑可以通過(guò)ps -A查看獲取）
DYLD_INSERT_LIBRARIES=dumpdecrypted.dylib 可執(zhí)行文件路徑
.decrypted文件就是脫殼后的可執(zhí)行文件
在使用過(guò)程中焕窝，可能會(huì)遇到以下錯(cuò)誤
原因：對(duì)dylib所在的文件夾權(quán)限不夠
解決方案：將dylib放在用戶所在文件夾蹬挺，比如
如果是root用戶，請(qǐng)將dylib放在/var/root目錄
如果是mobile用戶它掂，請(qǐng)將dylib放在/var/mobile目錄
