iOS逆向工程（七）：使用Theos逆向项目

使用Theos逆向项目

一、Theos是什么？

Theos是一套跨平台的开发工具，用于在不使用Xcode的情况下开发、部署iOS插件，大多数插件开发人员都使用Theos。
Theos工具套件包含一些重要组件：
- NIC组件，是一套项目模板系统，提供了各式各样的模板，用这些模板可以快速开始项目
- Make构建系统，由GNU Make驱动的强大构建系统，能够直接创建.deb软件包，并在Cydia中分发
- Logos指令库，提供了逆向的语法，允许使用一组预处理指令实现Hook
配置好Theos后，就可以使用Theos中的tweak模板，快速创建逆向工程，并使用Logos语法修改别人App的一些行为，例如：微信自动抢红包、腾讯视频去广告等等，最后使用make构建系统编译、打包、分发。
Theos目录结构：https://github.com/theos/theos/wiki/Structure
Theos环境变量和目录：http://iphonedevwiki.net/index.php/Theos

二、Theos逆向的原理

使用tweak模板把咱们写的逆向代码安装到手机的原理：首先会把咱们编写的逆向代码，编译成dylib动态库，然后与plist文件一起，打包成deb文件，然后通过手机的Cydia，安装到手机上，如下图所示：

tweak模板
改变App行为的原理：手机打开要逆向的目标App后，会在内存中载入这个App的可执行文件，此时，Cydia会检测plist文件中的BundleID是否和目标App的一致，如果一致，就会把咱们写的dylib动态库载入内存，在调用目标App的代码时，会把消息转发到咱们写的动态库中，实现hook，如下图所说：

改变App行为的原理.png

三、如何配置Theos？

1. 安装签名工具ldid

先确保安装了brew，安装命令如下：

$ /usr/bin/ruby -e "$(curl -fsSL https://raw.githubusercontent.com/Homebrew/install/master/install)"

利用brew安装ldid，安装命令如下：

$ brew install ldid

2. 修改环境变量

编辑用户的配置文件：

$ vim ~/.bash_profile

在.bash_profile文件后面加入以下两行：

 export THEOS=~/theos
 export PATH=$THEOS/bin:$PATH

让.bash_profile配置的环境变量立即生效，命令如下：

$ source ~/.bash_profile

3. 下载Theos

建议在~/.theos目录下载代码，也就是刚才配置的环境变量$THEOS，命令如下：

 $ git clone --recursive https://github.com/theos/theos.git $THEOS

4. 新建tweak项目

cd到一个存放项目代码的文件夹，例如桌面：

$ cd ~/Desktop
$ nic.pl

选择模板[10.]iphone/tweak，如下图所示：

image.png
填写项目信息
- Project Name: 项目名称，可以随便写，例如：tweak_wechat
- Package Name: 项目ID，可以随便写，例如：com.sp.wechat
- Author/Maintainer Name: 作者，直接敲回车，默认就是Mac上的当前用户名
- MobileSubstrate Bundle filter: 需要逆向的App的BundleID，可以通过Cycript查看，例如：微信的BundleID就是com.tencent.wechat
- List of applications to terminate upon installcation，直接敲回车，默认即可
- 之后就会生成一个文件夹，里面包含：control、Makefile、Tweak.x、xxx.plist等文件，这些文件的具体作用，后续会说到

5. 编辑Makefile文件

在Makefile中加入环境变量，写清楚通过哪个IP和端口访问手机，如下所示，由于会把接口转发到本地的10010端口，所以这里可以这样写：
- THOS_DEVICE_IP 手机IP
- THOS_DEVICE_PORT 要访问的端口号
```
export THEOS_DEVICE_IP=127.0.0.1 
export THEOS_DEVICE_PORT=10010
```
如果不想每个项目的Makefile都编写IP和端口环境变量，也可以添加到用户配置文件中，如下所示，编辑完成后，记得使用source ~/.bash_profile命令，让配置生效

$ vim ~/.bash_profile

export THEOS=~/theos
export PATH=$THEOS/bin:$PATH 
export THEOS_DEVICE_IP=127.0.0.1 
export THEOS_DEVICE_PORT=10010

$ source ~/.bash_profile

6. 编写逆向代码

打开Tweak.x文件，编写自己的逆向代码，如下所示，%hook、%end属于Logos语法

%hook FindFriendEntryViewController

- (NSInteger)numberOfSectionsInTableView:(UITableView *)tableView{
    return %orig + 1;
}

- (NSInteger)tableView:(UITableView *)tableView numberOfRowsInSection:(NSInteger)section{
    
    NSInteger totalSection = [self numberOfSectionsInTableView: tableView];

    if (section == totalSection - 1){
        return 2;
    }else{
        return %orig;
    }
}
%end

7. 编译-打包-安装

编译成dylib动态库

$ make

把动态库打包成deb文件

$ make package

安装到手机

$ make install

8. 配置好Theos后，Theos的使用方法

配置好Theos后，Theos的使用只需三步：

在命令行中输入nic.pl，选择tweak模板，填写项目信息
在Tweak.x中编写逆向代码
在命令行中输入make编译->make package打包->make install安装到手机
建议把Makefile中的IP和端口环境变量，都加到~/bash_profile中，这样以后新建项目，都不用配置环境变量了

四、配置Theos过程中可能遇到的问题

make package的错误，如下所示：

make package的错误.png

解决办法：是因为打包压缩方式有问题，改成gzip压缩就可以

修改dm.pl文件，用#号注释掉下面两句：

$ vim $THEOS/vendor/dm.pl/dm.pl
#use IO::Compress::Lzma;
#use IO::Compress::Xz;

修改deb.mk文件第6行的压缩方式为gzip，如下所示：

$ vim $THEOS/makefiles/package/deb.mk 
_THEOS_PLATFORM_DPKG_DEB_COMPRESSION ?= gzip

1. make出现错误，如下所示：
  
  image.png

解决办法：是因为安装了多个Xcode，导致的路径错误，需要指定一下Xcode

 $ sudo xcode-select --switch /Applications/Xcode.app/Contents/Developer/

1. make出现以下错误：
  
  image.png

解决办法：因为之前已经编译过，有缓存导致的，clean一下即可

$ make clean

五、Logos语法

1. 写逆向代码时常用的Logos语法
- %hook、%end：hook一个类的开始和结束，中间包括的所有方法，默认是hook状态
- %log：在方法中，加入此关键词，就会自动打印方法名、方法参数，会在系统日志中显示出来，在Xcode->Window->Devices And Simulators->Open Console->选择自己的手机，即可查看，如下图所示：
  
  image.png
  
  image.png
- HBDebugLog：跟NSLog类似，一般用来输出返回值的，会自动生成，不用管
- %new：添加一个新的方法，写在某个方法的上面，代表这个方法是新增的，而不是hook的
- %c(className)：生成一个Class对象，例如：%c(NSObject)，就相当于NSClassFromString()、object_getClass()
- %org：方法原来的代码逻辑，在方法里加上此关键词，就代表实现了此方法的原来的代码逻辑
- %ctor：构造方法，加载咱们的动态库时自动调用
- %dtor：析构方法，在程序退出时自动调用
- logify.pl：可以将一个头文件快速转换成已经包含打印信息的xm文件，命令如下：
```
logify.pl xx.h > xx.xm
```
1. 使用logify.pl生成的xm文件，很多时候编译是通不过的，需要进行以下处理：
- 删掉__weak
- 删掉inout
- 删掉协议或者声明协议，例如：@protocol BaseMsgContentDelgate;
- 声明类名，例如：@class MMRichTextCoverView;
- 删掉以.开头的方法，例如：- (void).cxx_destruct { %log; %orig; }
- 将HBLogDebug(@" = 0x%x", (unsigned int)r);删除或者是替换为HBLogDebug(@" = 0x%@", r);
- 当参数里面带上协议时，需要把协议删掉，例如：
  - (void)setM_backgroundThreadDelegate:( id <BaseMsgContentInBackgroundThreadDelgate> )m_backgroundThreadDelegate { %log; %orig; }，把<BaseMsgContentInBackgroundThreadDelgate>删掉即可。

六、tweak工程的一些技巧

1. 多文件的时候，建议新建一个src文件夹，用来存放xm代码，这样做的话，就需要在Makefile文件中，修改WeChatTest_FILES = $(wildcard src/*.xm)，把参数改成通配符；如果有多个类型的文件，就继续追加即可，例如：
  WeChatTest_FILES = $(wildcard src/*.xm) $(wildcard src/*.x)
1. 如果工程里面需要额外的图片的话，可以把图片放在项目的layout文件夹中，layout相当于手机的Device根路径；当把图片放在/layout/Library/Caches/项目名下面时，插件安装到手机后，图片会自动存放在手机的/Device/Library/Caches/项目名路径中

七、给微信增加自动抢红包功能

1. 首先分析需求，在微信的发现界面，增加两行UI，自动抢红包和退出微信，并实现功能（这里先绘制UI，功能实现在动态调试里面讲）
1. 使用Reveal观察微信的发现界面，拿到发现界面的类名FindFriendEntryViewController
1. 对微信脱壳，并且用class-dump导出微信的头文件，找到FindFriendEntryViewController.h文件，认真分析，发现里面实现了tableView的几个代理方法：
  
  FindFriendEntryViewController文件
1. nic.pl选择tweak模板，填写项目信息创建tweak项目，在Tweak.x中编写自己的逆向代码，逆向代码主要还是OC代码，部分关键词用到了Logos语法，例如：%hook %end代表替换微信中这些方法的实现；%new代表这个方法是新增的；%org代表这个方法的原有实现。如下所示：

#define SP_Defaults [NSUserDefaults standardUserDefaults]
#define SP_AutoKey @"sp_auto_key"
#define SP_File(path) @"/Library/PreferenceLoader/Preferences/SP_WeChat/" #path

@interface FindFriendEntryViewController

- (NSInteger)numberOfSectionsInTableView:(UITableView *)tableView;

@end

%hook FindFriendEntryViewController

- (NSInteger)numberOfSectionsInTableView:(UITableView *)tableView{
    return %orig + 1;
}

- (NSInteger)tableView:(UITableView *)tableView numberOfRowsInSection:(NSInteger)section{
    
    NSInteger totalSection = [self numberOfSectionsInTableView: tableView];

    if (section == totalSection - 1){
        return 2;
    }else{
        return %orig;
    }
}

- (UITableViewCell *)tableView:(UITableView *)tableView cellForRowAtIndexPath:(NSIndexPath *)indexPath{
    NSInteger totalSection = [self numberOfSectionsInTableView: tableView];

    if ([indexPath section] != totalSection - 1){
        return %orig;
    }

    NSString *cellID = ([indexPath row] == 0) ? @"sp_autoCellID" : @"sp_exitWXID"; 
    UITableViewCell *cell = [tableView dequeueReusableCellWithIdentifier:cellID];
    if (cell == nil){
        cell = [[UITableViewCell alloc] initWithStyle:UITableViewCellStyleDefault reuseIdentifier:cellID];
        cell.backgroundColor = [UIColor whiteColor];
        cell.imageView.image = [UIImage imageWithContentsOfFile:SP_File(skull.png)];
    }
    if ([indexPath row] == 0){
        //抢红包
        cell.textLabel.text = @"自动抢红包";
        UISwitch *switchView = [[UISwitch alloc] init];
        switchView.on = [SP_Defaults boolForKey:SP_AutoKey];
        cell.accessoryView = switchView;
        [switchView addTarget:self action:@selector(sp_autoRed:) forControlEvents:UIControlEventValueChanged];

    }else if ([indexPath row] == 1){
        //退出微信
        cell.textLabel.text = @"退出微信";
    }
    return cell;
}

- (double)tableView:(id)tableView heightForRowAtIndexPath:(id)indexPath{
    if ([indexPath section] != [self numberOfSectionsInTableView:tableView] - 1) {
        return %orig;
    }

    return 56;
}

- (void)tableView:(UITableView *)tableView didSelectRowAtIndexPath:(NSIndexPath *)indexPath{
    if ([indexPath section] != [self numberOfSectionsInTableView:tableView] - 1) {
        %orig;
        return;
    }

    [tableView deselectRowAtIndexPath:indexPath animated:YES];
    if ([indexPath row] == 0){
        //自动抢红包
    }else if ([indexPath row] == 1){
        // 终止进程
        exit(0);
        // abort();
    }
}

%new
- (void)sp_autoRed:(UISwitch *)switchView{
    [SP_Defaults setBool:switchView.on forKey:SP_AutoKey];
    [SP_Defaults synchronize];
}

1. 编译、打包、安装到手机，在手机的微信中，查看修改的成果

$ cd到tweak项目的目录下
$ make clean && make page debug=0 && make install

1. 如果想卸载插件，可以在Cydia的【已安装】里找到咱们写的插件，点击卸载即可。（或者在手机的Device/Libiary/MobileSubstrate/DynamicLibiaries中找到咱们自己写的 plist、dylib文件，删除即可）

八、逆向工程总结

1. 使用Theos的tweak模板，创建逆向工程之前，我们需要先对要逆向的App，进行界面分析和代码分析，找到类名、方法名、成员变量等信息后，在用Logos语法和OC语法编写我们的逆向代码
1. 界面分析，建议Reveal和Cycripy一起配合使用，用Reveal查看界面，找到内存地址，然后用Cycripy做进一步的分析，例如：找到某个视图的下一个响应者，#0x16166e2b0.nextResponder
1. 代码分析，脱壳后使用class-dump工具导出头文件，用界面分析得到的类名，找到这个类的方法名、成员变量等信息，然后用我们开发时一些经验进行分析

iOS逆向工程（七）：使用Theos逆向项目

使用Theos逆向项目

一、Theos是什么？

二、Theos逆向的原理

三、如何配置Theos？

1. 安装签名工具ldid

2. 修改环境变量

3. 下载Theos

4. 新建tweak项目

5. 编辑Makefile文件

6. 编写逆向代码

7. 编译-打包-安装

8. 配置好Theos后，Theos的使用方法

四、配置Theos过程中可能遇到的问题

五、Logos语法

六、tweak工程的一些技巧

七、给微信增加自动抢红包功能

八、逆向工程总结

推荐阅读更多精彩内容