使用Theos逆向项目
一、Theos是什么？
Theos是一套跨平台的开发工具，用于在不使用Xcode的情况下开发、部署iOS插件，大多数插件开发人员都使用Theos。
-
Theos工具套件包含一些重要组件：
配置好Theos后，就可以使用Theos中的
tweak模板，快速创建逆向工程，并使用Logos语法修改别人App的一些行为 ，例如：微信自动抢红包、腾讯视频去广告等等，最后使用make构建系统编译、打包、分发。Theos环境变量和目录：http://iphonedevwiki.net/index.php/Theos
二、Theos逆向的原理
-
使用tweak模板把咱们写的逆向代码安装到手机的原理：首先会把咱们编写的逆向代码，编译成
dylib动态库，然后与plist文件一起，打包成deb文件，然后通过手机的Cydia，安装到手机上 ，如下图所示：
tweak模板 -
改变App行为的原理：手机打开要逆向的目标App后，会在内存中载入这个App的可执行文件，此时，Cydia会检测
plist文件中的BundleID是否和目标App的一致，如果一致，就会把咱们写的dylib动态库载入内存，在调用目标App的代码时，会把消息转发到咱们写的动态库中，实现hook，如下图所说：
改变App行为的原理.png
三、如何配置Theos？
1. 安装签名工具ldid
- 先确保安装了brew，安装命令如下：
$ /usr/bin/ruby -e "$(curl -fsSL https://raw.githubusercontent.com/Homebrew/install/master/install)"
- 利用brew安装ldid，安装命令如下：
$ brew install ldid
2. 修改环境变量
- 编辑用户的配置文件：
$ vim ~/.bash_profile
- 在
.bash_profile文件后面加入以下两行：
export THEOS=~/theos
export PATH=$THEOS/bin:$PATH
- 让
.bash_profile配置的环境变量立即生效，命令如下：
$ source ~/.bash_profile
3. 下载Theos
- 建议在~/.theos目录下载代码，也就是刚才配置的环境变量$THEOS，命令如下：
$ git clone --recursive https://github.com/theos/theos.git $THEOS
4. 新建tweak项目
- cd到一个存放项目代码的文件夹，例如桌面：
$ cd ~/Desktop
$ nic.pl
-
选择模板[10.]iphone/tweak，如下图所示：
image.png -
填写项目信息
-
Project Name:项目名称，可以随便写，例如：tweak_wechat -
Package Name:项目ID，可以随便写，例如：com.sp.wechat -
Author/Maintainer Name:作者，直接敲回车，默认就是Mac上的当前用户名 -
MobileSubstrate Bundle filter:需要逆向的App的BundleID，可以通过Cycript查看，例如：微信的BundleID就是com.tencent.wechat -
List of applications to terminate upon installcation，直接敲回车，默认即可 - 之后就会生成一个文件夹，里面包含：
control、Makefile、Tweak.x、xxx.plist等文件，这些文件的具体作用，后续会说到
-
5. 编辑Makefile文件
-
在Makefile中加入环境变量，写清楚通过哪个IP和端口访问手机，如下所示，由于会把接口转发到本地的10010端口，所以这里可以这样写：
- THOS_DEVICE_IP 手机IP
- THOS_DEVICE_PORT 要访问的端口号
export THEOS_DEVICE_IP=127.0.0.1 export THEOS_DEVICE_PORT=10010 如果不想每个项目的Makefile都编写IP和端口环境变量，也可以添加到用户配置文件中，如下所示，编辑完成后，记得使用
source ~/.bash_profile命令，让配置生效
$ vim ~/.bash_profile
export THEOS=~/theos
export PATH=$THEOS/bin:$PATH
export THEOS_DEVICE_IP=127.0.0.1
export THEOS_DEVICE_PORT=10010
$ source ~/.bash_profile
6. 编写逆向代码
- 打开Tweak.x文件，编写自己的逆向代码，如下所示，
%hook、%end属于Logos语法
%hook FindFriendEntryViewController
- (NSInteger)numberOfSectionsInTableView:(UITableView *)tableView{
return %orig + 1;
}
- (NSInteger)tableView:(UITableView *)tableView numberOfRowsInSection:(NSInteger)section{
NSInteger totalSection = [self numberOfSectionsInTableView: tableView];
if (section == totalSection - 1){
return 2;
}else{
return %orig;
}
}
%end
7. 编译-打包-安装
- 编译成dylib动态库
$ make
- 把动态库打包成deb文件
$ make package
- 安装到手机
$ make install
8. 配置好Theos后，Theos的使用方法
配置好Theos后，Theos的使用只需三步：
在命令行中输入nic.pl，选择tweak模板，填写项目信息
在Tweak.x中编写逆向代码
在命令行中输入make编译->make package打包->make install安装到手机
建议把Makefile中的IP和端口环境变量，都加到
~/bash_profile中，这样以后新建项目，都不用配置环境变量了
四、配置Theos过程中可能遇到的问题
-
make package的错误，如下所示：
make package的错误.png
解决办法：是因为打包压缩方式有问题，改成gzip压缩就可以
- 修改dm.pl文件，用#号注释掉下面两句：
$ vim $THEOS/vendor/dm.pl/dm.pl
#use IO::Compress::Lzma;
#use IO::Compress::Xz;
- 修改deb.mk文件第6行的压缩方式为gzip，如下所示：
$ vim $THEOS/makefiles/package/deb.mk
_THEOS_PLATFORM_DPKG_DEB_COMPRESSION ?= gzip
-
make出现错误，如下所示：
image.png
-
解决办法：是因为安装了多个Xcode，导致的路径错误，需要指定一下Xcode
$ sudo xcode-select --switch /Applications/Xcode.app/Contents/Developer/
-
make出现以下错误：
image.png
-
解决办法：因为之前已经编译过，有缓存导致的，clean一下即可
$ make clean
五、Logos语法
-
- 写逆向代码时常用的Logos语法
%hook、%end：hook一个类的开始和结束，中间包括的所有方法，默认是hook状态-
%log：在方法中，加入此关键词，就会自动打印方法名、方法参数，会在系统日志中显示出来，在Xcode->Window->Devices And Simulators->Open Console->选择自己的手机，即可查看，如下图所示：
image.png
image.png HBDebugLog：跟NSLog类似，一般用来输出返回值的，会自动生成，不用管%new：添加一个新的方法，写在某个方法的上面，代表这个方法是新增的，而不是hook的%c(className)：生成一个Class对象，例如：%c(NSObject)，就相当于NSClassFromString()、object_getClass()%org：方法原来的代码逻辑，在方法里加上此关键词，就代表实现了此方法的原来的代码逻辑%ctor：构造方法，加载咱们的动态库时自动调用%dtor：析构方法，在程序退出时自动调用logify.pl：可以将一个头文件快速转换成已经包含打印信息的xm文件，命令如下：
logify.pl xx.h > xx.xm -
- 使用logify.pl生成的xm文件，很多时候编译是通不过的，需要进行以下处理：
- 删掉
__weak - 删掉
inout - 删掉协议或者声明协议，例如：
@protocol BaseMsgContentDelgate; - 声明类名，例如：
@class MMRichTextCoverView; - 删掉以.开头的方法，例如：
- (void).cxx_destruct { %log; %orig; } - 将
HBLogDebug(@" = 0x%x", (unsigned int)r);删除或者是替换为HBLogDebug(@" = 0x%@", r); - 当参数里面带上协议时，需要把协议删掉，例如：
- (void)setM_backgroundThreadDelegate:( id <BaseMsgContentInBackgroundThreadDelgate> )m_backgroundThreadDelegate { %log; %orig; }，把<BaseMsgContentInBackgroundThreadDelgate>删掉即可。
六、tweak工程的一些技巧
- 多文件的时候，建议新建一个
src文件夹，用来存放xm代码，这样做的话，就需要在Makefile文件中，修改WeChatTest_FILES = $(wildcard src/*.xm)，把参数改成通配符；如果有多个类型的文件，就继续追加即可，例如：
WeChatTest_FILES = $(wildcard src/*.xm) $(wildcard src/*.x)
- 多文件的时候，建议新建一个
- 如果工程里面需要额外的图片的话，可以把图片放在项目的layout文件夹中，
layout相当于手机的Device根路径；当把图片放在/layout/Library/Caches/项目名下面时，插件安装到手机后，图片会自动存放在手机的/Device/Library/Caches/项目名路径中
- 如果工程里面需要额外的图片的话，可以把图片放在项目的layout文件夹中，
七、给微信增加自动抢红包功能
- 首先分析需求，在微信的发现界面，增加两行UI，自动抢红包和退出微信，并实现功能（这里先绘制UI，功能实现在动态调试里面讲）
- 使用Reveal观察微信的发现界面，拿到发现界面的类名
FindFriendEntryViewController
- 使用Reveal观察微信的发现界面，拿到发现界面的类名
- 对微信脱壳，并且用class-dump导出微信的头文件，找到
FindFriendEntryViewController.h文件，认真分析，发现里面实现了tableView的几个代理方法：
FindFriendEntryViewController文件
- 对微信脱壳，并且用class-dump导出微信的头文件，找到
-
nic.pl选择tweak模板，填写项目信息创建tweak项目，在Tweak.x中编写自己的逆向代码，逆向代码主要还是OC代码，部分关键词用到了Logos语法，例如：%hook %end代表替换微信中这些方法的实现；%new代表这个方法是新增的；%org代表这个方法的原有实现。如下所示：
-
#define SP_Defaults [NSUserDefaults standardUserDefaults]
#define SP_AutoKey @"sp_auto_key"
#define SP_File(path) @"/Library/PreferenceLoader/Preferences/SP_WeChat/" #path
@interface FindFriendEntryViewController
- (NSInteger)numberOfSectionsInTableView:(UITableView *)tableView;
@end
%hook FindFriendEntryViewController
- (NSInteger)numberOfSectionsInTableView:(UITableView *)tableView{
return %orig + 1;
}
- (NSInteger)tableView:(UITableView *)tableView numberOfRowsInSection:(NSInteger)section{
NSInteger totalSection = [self numberOfSectionsInTableView: tableView];
if (section == totalSection - 1){
return 2;
}else{
return %orig;
}
}
- (UITableViewCell *)tableView:(UITableView *)tableView cellForRowAtIndexPath:(NSIndexPath *)indexPath{
NSInteger totalSection = [self numberOfSectionsInTableView: tableView];
if ([indexPath section] != totalSection - 1){
return %orig;
}
NSString *cellID = ([indexPath row] == 0) ? @"sp_autoCellID" : @"sp_exitWXID";
UITableViewCell *cell = [tableView dequeueReusableCellWithIdentifier:cellID];
if (cell == nil){
cell = [[UITableViewCell alloc] initWithStyle:UITableViewCellStyleDefault reuseIdentifier:cellID];
cell.backgroundColor = [UIColor whiteColor];
cell.imageView.image = [UIImage imageWithContentsOfFile:SP_File(skull.png)];
}
if ([indexPath row] == 0){
//抢红包
cell.textLabel.text = @"自动抢红包";
UISwitch *switchView = [[UISwitch alloc] init];
switchView.on = [SP_Defaults boolForKey:SP_AutoKey];
cell.accessoryView = switchView;
[switchView addTarget:self action:@selector(sp_autoRed:) forControlEvents:UIControlEventValueChanged];
}else if ([indexPath row] == 1){
//退出微信
cell.textLabel.text = @"退出微信";
}
return cell;
}
- (double)tableView:(id)tableView heightForRowAtIndexPath:(id)indexPath{
if ([indexPath section] != [self numberOfSectionsInTableView:tableView] - 1) {
return %orig;
}
return 56;
}
- (void)tableView:(UITableView *)tableView didSelectRowAtIndexPath:(NSIndexPath *)indexPath{
if ([indexPath section] != [self numberOfSectionsInTableView:tableView] - 1) {
%orig;
return;
}
[tableView deselectRowAtIndexPath:indexPath animated:YES];
if ([indexPath row] == 0){
//自动抢红包
}else if ([indexPath row] == 1){
// 终止进程
exit(0);
// abort();
}
}
%new
- (void)sp_autoRed:(UISwitch *)switchView{
[SP_Defaults setBool:switchView.on forKey:SP_AutoKey];
[SP_Defaults synchronize];
}
- 编译、打包、安装到手机，在手机的微信中，查看修改的成果
$ cd到tweak项目的目录下
$ make clean && make page debug=0 && make install
- 如果想卸载插件，可以在Cydia的【已安装】里找到咱们写的插件，点击卸载即可。（或者在手机的
Device/Libiary/MobileSubstrate/DynamicLibiaries中找到咱们自己写的 plist、dylib文件，删除即可）
- 如果想卸载插件，可以在Cydia的【已安装】里找到咱们写的插件，点击卸载即可。（或者在手机的
八、逆向工程总结
- 使用Theos的tweak模板，创建逆向工程之前，我们需要先对要逆向的App，进行界面分析和代码分析，找到类名、方法名、成员变量等信息后，在用Logos语法和OC语法编写我们的逆向代码
- 界面分析，建议
Reveal和Cycripy一起配合使用，用Reveal查看界面，找到内存地址，然后用Cycripy做进一步的分析，例如：找到某个视图的下一个响应者，#0x16166e2b0.nextResponder
- 界面分析，建议
- 代码分析，脱壳后使用class-dump工具导出头文件，用界面分析得到的类名，找到这个类的方法名、成员变量等信息，然后用我们开发时一些经验进行分析
