一 Cydia Substrate
Cydia Substrate 原名为 Mobile Substrate ，它的主要作用是针对OC方法、C函数以及函数地址进行HOOK操作。当然它并不是仅仅针对iOS而设计的，安卓一样可以用。是对Method Swizzle和fishhook的封装。
Cydia Substrate主要由3部分组成：
-
MobileHooker
MobileHooker顾名思义用于HOOK。它定义一系列的宏和函数，底层调用objc的runtime和fishhook来替换系统或者目标应用的函数.
其中有两个函数:
MSHookMessageEx 主要作用于Objective-C方法
void MSHookMessageEx(Class class, SEL selector, IMP replacement, IMP result)
MSHookFunction 主要作用于C和C++函数
void MSHookFunction(voidfunction,void* replacement,void** p_original)
Logos语法的%hook 就是对此函数做了一层封装 -
MobileLoader
MobileLoader用于加载第三方dylib在运行的应用程序中。启动时MobileLoader会根据规则把指定目录的第三方的动态库加载进去，第三方的动态库也就是我们写的破解程序. - safe mode
因为APP程序质量参差不齐崩溃再所难免，破解程序本质是dylib，寄生在别人进程里。 系统进程一旦出错，可能导致整个进程崩溃,崩溃后就会造成iOS瘫痪。所以CydiaSubstrate引入了安全模式,在安全模 式下所有基于CydiaSubstratede 的三方dylib都会被禁用，便于查错与修复。
二 逆向hook过程
- 找到包内容中的MachO文件，然后 把可执行文件的头文件导出来
class-dump -H MachO文件 -o 文件夹 - 新建MonkeyApp,把ipa拖到MonkeyApp的TargetApp文件夹中，然后真机运行
- 利用Xcode的Debug View Hierarchy功能，找到需要hook的类和方法名，然后去class-dump出来的头文件里找出来。
- 如果某些方法无法通过UI来判定，那么就hook住这个类中的所有方法，然后%log 看输出，分析出自己想要的方法
- 得到方法名和类名后就可以开始hook了
三 Logos语法
- %hook 要hook的类
%hook ViewController //要hook的类
- (void)loginBtnClick:(id)arg1
{
%log
UIAlertController *alertController = [UIAlertController alertControllerWithTitle:@"group1" message:nil preferredStyle:UIAlertControllerStyleAlert];
UIAlertAction *connectAction = [UIAlertAction actionWithTitle:@"确定" style:UIAlertActionStyleDefault handler:nil];
[alertController addAction:connectAction];
[self presentViewController:alertController animated:YES completion:nil];
}
%end
当只有一个分组时，有隐性的构造函数，所以直接%hook %end就可以hook想要的类和方法。%hook %end可以hook一个类
- %group 分组
两个以上分组时要构造函数并初始化%group %%end是一个分组
%group group1 //第一个组
%hook ViewController //要hook的类
- (void)loginBtnClick:(id)arg1
{
%log //输出方法的详细信息
}
%end
%end
%group group2 //第二个组
%hook ViewController
- (void)loginBtnClick:(id)arg1
{
%orig; //执行的流程 可以有参数和返回值
%log //输出方法的信息
UIAlertController *alertController = [UIAlertController alertControllerWithTitle:@"group2" message:nil preferredStyle:UIAlertControllerStyleAlert];
UIAlertAction *connectAction = [UIAlertAction actionWithTitle:@"确定" style:UIAlertActionStyleDefault handler:nil];
[alertController addAction:connectAction];
[self presentViewController:alertController animated:YES completion:nil];
}
%end
%end
- %ctor 构造函数
//构造函数 constructor 指定加载哪个组 init的时候，后面的会覆盖前面的%init(group2)%init(group1) group1生效
//默认的 %ctor{ %init(_ungrouped)}
//
%ctor{
NSString * version = [UIDevice currentDevice].systemVersion;
if(version.doubleValue >= 11.1){
%init(group2)
}else{
%init(group1)
}
}
- %new 添加方法
%new //给类添加方法
-(void)touchesBegan:(NSSet<UITouch *> *)touches withEvent:(UIEvent *)event{
[self.view endEditing:YES];
//调用类方法
// [self.class HK_classMethod];
// [NSClassFromString(@"ViewController") HK_classMethod];
[%c(ViewController) HK_classMethod];
//%c(ViewController) 拿到ViewController类 class
}
%new //添加类方法
+(void)HK_classMethod{
NSLog(@"这是一个类方法!");
}
- %orig 执行原本方法的流程
- (void)viewDidAppear:(_Bool)arg1{
%orig;
UIButton * leftBtn = [UIButton buttonWithType:(UIButtonTypeContactAdd)];
[leftBtn addTarget:self action:@selector(HK_leftClick) forControlEvents:(UIControlEventTouchUpInside)];
[self.navigationItem setLeftBarButtonItem: [[UIBarButtonItem alloc] initWithCustomView:leftBtn]];
}
-(id)registerBtnClick:(id)arg1
{
id value = %orig(arg1) //执行原本方法的流程
//对value 进行一些自己的操作后
return value
}
给类添加方法时，编译不过去，编译器报找不到这个方法的错误，那么可以自己建立一个.h文件，里面放要hook的类的头文件，头文件里包括自己添加的方法就可以编译通过。
- MSHookIvar 获取成员变量
[MSHookIvar<UITableView *>(self,"_tableView") endEditing:YES];
四 举个例子🌰
在微信的第一次加载界面，把背景图片换掉，再加一个按钮，按钮事件跟登录事件效果一样
-
新建MonkeyApp ，把微信ipa重签名，用Debug View查看界面信息：
- 把可执行文件的头文件导出来
➜ WeChat.app class-dump -H WeChat -o /Users/mac/Desktop/wechatHeaders
把wechatHeaders拖到Sublime Text打开，找到WCAccountLoginFirstViewController
- hook住WCAccountLoginFirstViewController，加一个按钮
UIButton *bu = [UIButton buttonWithType:UIButtonTypeCustom];
bu.frame = CGRectMake(10, 100, 100, 100);
[bu setTitle:@"自己的登录" forState:UIControlStateNormal];
[self.view addSubview:bu];
bu.center =self.view.center;
[bu addTarget:self action:@selector(clickToLogin) forControlEvents:UIControlEventTouchUpInside];
- 新建Header.h文件，文件里设置WCAccountLoginFirstViewController加上一个新方法- (void)clickToLogin
#import <UIKit/UIKit.h>
@interface WCAccountLoginFirstViewController : UIViewController
- (void)clickToLogin;
@end
- 那么怎么让图片点击事件跟登录事件效果一样呢？
-
先确定登录按钮的事件
得到登录按钮的Target和Action，lldb调试
(lldb) po 0x113b43c60 //Target
{
className = WCAccountLoginControlLogic;
memoryAddress = 0x10d495f80;
}
(lldb) po 0x113b46610 //Action
{
className = "__NSCFString";
memoryAddress = 0x113b46480;
}
然后再获取Action的方法：
(lldb) po 0x113b46480
onFirstViewLogin
- 在 Sublime Text中找到WCAccountLoginControlLogic类看是否包含onFirstViewLogin方法，结果果然包含onFirstViewLogin方法
- 那么要编译通过，就要声明WCAccountLoginControlLogic 和onFirstViewLogin，所以在Header.h中添加
@interface WCAccountLoginControlLogic : NSObject
- (void)onFirstViewLogin;
@end
- 用cycript进行调试，找到登录按钮和背景UIImageView
1.获取当前控制器
cy# var control = UIApp.keyWindow.rootViewController.viewControllers[0]
#"<WCAccountLoginFirstViewController: 0x1080d0a00>"
2. 获取背景UIImageView
cy# var imagev = control.view.subviews[0].subviews[0]
#"<UIImageView: 0x10b33d460; frame = (0 -20; 375 667); opaque = NO; userInteractionEnabled = NO; layer = <CALayer: 0x10b120150>>"
3. 获取到登录按钮
cy# var button = control.view.subviews[1].subviews[0]
#"<FixTitleColorButton: 0x10b0d8c00; baseClass = UIButton; frame = (20 18; 157.5 47); clipsToBounds = YES; opaque = NO; autoresize = RM; layer = <CALayer: 0x10d5f9d40>>"
- 替换背景图片 图片资源直接拖到工程文件文件夹中target要选工程文件
UIImageView * imgv1 = self.view.subviews[0].subviews[0];
imgv1.image = [UIImage imageNamed:@"@1xGroup 3.png"];
- 实现自己的登录按钮事件
%new
- (void)clickToLogin
{
UIButton *btn = self.view.subviews[1].subviews[0];
NSArray *arr =[ btn.allTargets allObjects];
WCAccountLoginControlLogic *vc = arr[0];
[vc onFirstViewLogin];
}
- 最后的完整代码为
#import "Header.h"
%group group2
%hook WCAccountLoginFirstViewController
- (void)viewDidAppear:(_Bool)arg1{
%orig;//执行原来的流程
//添加自己的按钮
UIButton *bu = [UIButton buttonWithType:UIButtonTypeCustom];
bu.frame = CGRectMake(10, 100, 100, 100);
[bu setTitle:@"自己的登录" forState:UIControlStateNormal];
[self.view addSubview:bu];
bu.center =self.view.center;
[bu addTarget:self action:@selector(clickToLogin) forControlEvents:UIControlEventTouchUpInside];
//替换背景图片
UIImageView * imgv1 = self.view.subviews[0].subviews[0];
imgv1.image = [UIImage imageNamed:@"@1xGroup 3.png"];
}
%new
- (void)clickToLogin
{
UIButton *btn = self.view.subviews[1].subviews[0];
NSArray *arr =[ btn.allTargets allObjects];
WCAccountLoginControlLogic *vc = arr[0];
[vc onFirstViewLogin];
}
%end
%end
%ctor{
%init(group2)
}
