iOS逆向实战--029：应用砸壳

软件脱壳，顾名思义，就是对软件加壳的逆操作，把软件上存在的壳去掉（解密）。

砸壳原理

应用加壳（加密）

提交给AppStore发布的App，都经过官方保护而加密，这样可以保证机器上跑的应用是苹果审核过的，也可以管理软件授权

经过AppStore加密的应用，我们无法通过Hopper等反编译静态分析，也无法Class-Dump

在逆向分析过程中，需要对加密的二进制文件进行解密，然后才能进行静态分析，这一过程就是大家熟知的砸壳（脱壳）

应用砸壳（解密）

  • 静态砸壳：在已经掌握和了解到了壳应用的加密算法和逻辑后，在不运行壳应用程序的前提下，将壳应用程序进行解密处理。静态脱壳的方法难度大，而且加密方发现应用被破解后，就可能会改用更加高级和复杂的加密技术
  • 动态砸壳：从运行在进程内存空间中的可执行程序映像（image）入手，将内存中的内容进行转储（dump）处理来实现脱壳处理。这种方法实现起来相对简单，且不必关心使用的是何种加密技术

iOS应用运行原理

在iOS系统中，应用砸壳所使用的都是动态砸壳技术

Clutch

Clutch是由KJCracks开发的一款开源砸壳工具。工具支持iPhone、iPod Touch、iPad，该工具需要使用iOS8.0以上的越狱手机应用。

Clutch属于命令行工具，适用于完美越狱的设备。如果是非完美越狱，砸壳时可能会出现问题

Clutch安装

官网地址：https://github.com/KJCracks/Clutch

直接找到Release版本

下载最新的Clutch-2.0.4

使用file命令，查看Clutch工具

file Clutch-2.0.4
-------------------------
Clutch-2.0.4: Mach-O universal binary with 3 architectures: [arm_v7:Mach-O executable arm_v7] [arm_v7s:Mach-O executable arm_v7s] [arm64:Mach-O 64-bit executable arm64]
Clutch-2.0.4 (for architecture armv7): Mach-O executable arm_v7
Clutch-2.0.4 (for architecture armv7s):    Mach-O executable arm_v7s
Clutch-2.0.4 (for architecture arm64): Mach-O 64-bit executable arm64

Clutch是通用二进制文件，可以支持不同CPU架构的设备

Clutch使用

将Clutch-2.0.4拷贝到手机的/var/root目录下，并且重命名为Clutch

scp -P 12345 ./Clutch-2.0.4 root@127.0.0.1:/var/root/Clutch
-------------------------
Clutch-2.0.4                                  100% 1204KB  28.2MB/s   00:00
  • 使用-P参数，指定USB连接的映射端口，传输速度更快
  • 前面是本地文件路径
  • 后面是手机路径，IP地址要和登录时设置的一致
  • 拷贝的同时，可以修改名称
  • 如果拷贝的是文件夹，增加-r参数

为Clutch增加可执行权限

chmod +x Clutch

查看Clutch的用法

./Clutch
-------------------------
Usage: Clutch [OPTIONS]
-b --binary-dump <value> Only dump binary files from specified bundleID
-d --dump <value>        Dump specified bundleID into .ipa file
-i --print-installed     Print installed applications
  --clean               Clean /var/tmp/clutch directory
  --version             Display version and exit
-? --help                Display this help and exit
-n --no-color            Print with colors disabled
  • -b：仅从指定的bundleID转储二进制文件
  • -d：将指定的绑定文件转储到.ipa文件中
  • -i：打印安装的应用程序

查看安装的应用程序

./Clutch -i
-------------------------
1:   老司机汽车 <com.driver.feng>
2:   爱思加强版 <com.pd.A4Player>
3:   微信 <com.tencent.xin>
  • 这里列出的软件，都可以进行砸壳

选择对WeChat进行砸壳

./Clutch -d 3
-------------------------
com.tencent.xin contains watchOS 2 compatible application. It's not possible to dump watchOS 2 apps with Clutch 2.0.4 at this moment.
Zipping WeChat.app
ASLR slide: 0x1000b0000
Dumping <WeChatNotificationServiceExtension> (arm64)
Patched cryptid (64bit segment)
Writing new checksum
...
DONE: /private/var/mobile/Documents/Dumped/com.tencent.xin-iOS9.0-(Clutch-2.0.4).ipa
Finished dumping com.tencent.xin in 44.8 seconds
  • Clutch同样使用动态砸壳，所以理论上，砸壳前应该启动WeChat。实际上并不需要，当Clutch发现目标App未启动，会自动将其启动
  • 砸壳成功，给出.ipa包的路径

将砸壳后的.ipa包，导出到Mac电脑。解压出MachO文件，查看加密状态

otool -l WeChat | grep crypt
-------------------------
    cryptoff 16384
   cryptsize 107446272
     cryptid 0
  • cryptid为0，处于未加密状态，证明WeChat砸壳成功
dumpdecrypted

Github开源工具。dumpdecrypted这个工具就是通过建立一个名为dumpdecrypted.dylib的动态库，插入目标应用实现脱壳。

dumpdecrypted和Clutch一样，都是砸壳领域的经典插件。它们同样岁月沧桑，适用于完美越狱的设备。如果是非完美越狱，砸壳时可能会出现问题

越狱环境的代码注入，可以使用不污染三方应用的插件完成。插件只会影响当前进程，无需修改MachO文件，从而使三方应用防护难度增大

在dyld的源码中，有一个DYLD_INSERT_LIBRARIES环境变量，用于插入动态库并执行

越狱环境，将自定义动态库插入WeCath进程

创建Inject动态库，添加InjectCode类

打开InjectCode.m文件，写入以下代码：

#import "InjectCode.h"

@implementation InjectCode

+(void)load {
   NSLog(@"\n\n\n\n\n🍺🍺🍺🍺🍺\n\n\n\n\n");
}

@end

编译项目，生成Inject.framework

将Inject.framework拷贝到手机的/var/root目录下

scp -r -P 12345 ./Inject.framework root@127.0.0.1:/var/root
-------------------------
CodeResources                                 100% 2402   917.0KB/s   00:00
Inject                                        100%   85KB   6.4MB/s   00:00
Inject.h                                      100%  424   214.9KB/s   00:00
module.modulemap                              100%   93    47.5KB/s   00:00
Info.plist                                    100%  744   588.3KB/s   00:00
  • Inject.framework是文件夹，所以需要加上-r参数，让其循环拷贝

USB连接手机

usb-5s.sh

查看WeCath进程

ps -A | grep WeChat
-------------------------
5380 ??         0:03.70 /var/mobile/Containers/Bundle/Application/B1661526-3E43-4397-9E86-A9735DE89AE1/WeChat.app/WeChat
5388 ttys000    0:00.01 grep WeChat

使用DYLD_INSERT_LIBRARIES，将Inject.framework插入到WeCath进程

DYLD_INSERT_LIBRARIES=Inject.framework/Inject /var/mobile/Containers/Bundle/Application/B1661526-3E43-4397-9E86-A9735DE89AE1/WeChat.app/WeChat

注入的代码在WeChat进程中执行成功

对iOS 9.1以上系统的兼容问题

上述案例，使用iOS 9.1系统进行演示

在iOS 9.1以上系统，使用DYLD_INSERT_LIBRARIES插入动态库，会提示以下错误：

Killed：9
  • 问题产生：在9.1以上系统，不允许root用户插入动态库
  • 解决办法：需要切换成mobile用户，才可执行成功

dumpdecrypted安装

官网地址：https://github.com/stefanesser/dumpdecrypted

克隆dumpdecrypted

git clone https://github.com/stefanesser/dumpdecrypted.git

进入dumpdecrypted目录，执行make命令

make

编译生成动态库：dumpdecrypted.dylib

dumpdecrypted使用

将dumpdecrypted.dylib拷贝到手机的/var/root目录下

scp -P 12345 ./dumpdecrypted.dylib root@127.0.0.1:/var/root
-------------------------
dumpdecrypted.dylib                                                                              100%  209KB  13.3MB/s   00:00

使用DYLD_INSERT_LIBRARIES，将dumpdecrypted.dylib插入到WeCath进程

DYLD_INSERT_LIBRARIES=dumpdecrypted.dylib /var/mobile/Containers/Bundle/Application/B1661526-3E43-4397-9E86-A9735DE89AE1/WeChat.app/WeChat
-------------------------
objc[5571]: Class MarsReachability is implemented in both /private/var/mobile/Containers/Bundle/Application/B1661526-3E43-4397-9E86-A9735DE89AE1/WeChat.app/Frameworks/mars.framework/mars and /private/var/mobile/Containers/Bundle/Application/B1661526-3E43-4397-9E86-A9735DE89AE1/WeChat.app/Frameworks/matrixreport.framework/matrixreport. One of the two will be used. Which one is undefined.
objc[5571]: Class WCLogger is implemented in both /System/Library/Frameworks/WatchConnectivity.framework/WatchConnectivity and /var/mobile/Containers/Bundle/Application/B1661526-3E43-4397-9E86-A9735DE89AE1/WeChat.app/WeChat. One of the two will be used. Which one is undefined.
mach-o decryption dumper
...
[+] Closing original file
[+] Closing dump file

在当前目录下，导出WeChat.decrypted文件，是砸壳后的MachO文件

将WeChat.decrypted文件，导出到Mac电脑

otool -l WeChat.decrypted | grep crypt
-------------------------
WeChat.decrypted:
    cryptoff 16384
   cryptsize 107446272
     cryptid 0

cryptid为0，处于未加密状态，证明导出的WeChat.decrypted砸壳成功

使用dumpdecrypted工具，要求Xcode SDK与越狱设备iOS SDK版本一致

例如：对iOS 9.1的设备插入dumpdecrypted.dylib，就要使用老版本的Xcode对dumpdecrypted进行make

否则在插入dumpdecrypted.dylib时，会出现以下错误

DYLD_INSERT_LIBRARIES=dumpdecrypted.dylib /var/mobile/Containers/Bundle/Application/B1661526-3E43-4397-9E86-A9735DE89AE1/WeChat.app/WeChat
-------------------------
dyld: Symbol not found: ___chkstk_darwin
 Referenced from: dumpdecrypted.dylib
 Expected in: /usr/lib/libSystem.B.dylib
in dumpdecrypted.dylib
Trace/BPT trap: 5
frida-ios-dump

该工具基于frida提供的强大功能，通过注入js实现内存dump，然后通过python自动拷贝到电脑生成ipa文件。

frida-ios-dump支持众多版本的系统，非完美越狱的环境也可使用，是目前最常用、最稳定的砸壳工具

pip安装

pip的安装和python版本有关，python安装使用pip，而python3安装使用pip3

查看python版本

python --version
-------------------------
Python 2.7.16

查看python3版本

python3 --version
-------------------------
Python 3.8.2

查看pip版本

pip -V

查看pip3版本

pip3 -V

使用easy_install命令，安装pip

sudo easy_install pip

使用easy_install的方式，我没有安装成功。pip和pip3都尝试过，安装后一直提示版本问题，无法使用

这里介绍另一种方式，使用get-pip

克隆get-pip

git clone https://github.com/pypa/get-pip.git

来到public目录下

使用python3执行get-pip.py脚本，安装pip3

python3 get-pip.py

frida安装

在iOS设备，安装frida

打开Cydia，添加源：https://build.frida.re

安装Frida

在Mac电脑，安装frida

sudo pip3 install frida-tools

可能会出现警告：you may want sudo's -H flag

  • 目录不归当前用户所有。请检查该目录的权限和所有者，需要sudo的-H标志

sudo -H：set-home将HOME变量设为目标用户的主目录

sudo -H pip3 install frida-tools

出现Uninstalling a distutils installed project (six)提示，执行以下命令：

sudo pip3 install frida --upgrade --ignore-installed six

frida使用

查看Mac电脑的进程

frida-ps
-------------------------
 PID  Name
17799  360压缩大师
5668  AccessibilityVisualsAgent
 602  AirPlayUIAgent
 381  AppSSOAgent
13006  Code
...

USB连接设备，查看手机上的进程

frida-ps -U
-------------------------
PID  Name
5574  Cydia
5480  iTunes
5569  老司机汽车
6318  邮件
...

进入WeChat进程

frida -U 微信

输出WeChat内存中的对象

[iPhone::微信]-> ObjC
-------------------------
       "_SFPBSearchSuggestion": {
           "handle": "0x1db5319f8"
       },
       "_SFPBSectionHeaderCardSection": {
           "handle": "0x1db49d2b8"
       },
...

frida更多语法，可查看：官方文档

frida擅长将js和python脚本，注入到目标程序并执行，它并不适合作为动态分析的工具使用

frida-ios-dump就是将dump.py，通过frida注入目标程序，从而实现应用砸壳

在Mac电脑，配置frida-ios-dump

官网地址：https://github.com/AloneMonkey/frida-ios-dump

克隆frida-ios-dump

sudo git clone https://github.com/AloneMonkey/frida-ios-dump

进入frida-ios-dump目录

安装依赖

sudo pip3 install -r requirements.txt --upgrade

安装过程中，可能出现的错误

prompt-toolkit版本不兼容问题

frida-tools 1.2.2 has requirement prompt-toolkit<2.0.0,>=0.57, but you'll have prompt-toolkit 2.0.7 which is incompatible.

解决方法，需要降低prompt-toolkit版本

卸载prompt-toolkit

sudo pip uninstall prompt-toolkit

安装指定版本

sudo pip install prompt-toolkit==1.0.6

如果出现-H警告，同样使用sudo -H解决

sudo -H pip3 install -r requirements.txt --upgrade

frida-ios-dump使用

进入frida-ios-dump目录，执行dump.py脚本

./dump.py 微信
-------------------------
Traceback (most recent call last):
 File "./dump.py", line 11, in <module>
   import frida
ImportError: No module named frida

遇到上述问题，先检查frida-ios-dump目录的读写权限

右键frida-ios-dump目录，选择“显示简介”，添加“本用户”的读写权限，并选择“应用到包含的项目...”

打开dump.py文件，需要将python修改为python3

执行dump.py脚本

./dump.py 微信
-------------------------
[Errno None] Unable to connect to port 2222 on 127.0.0.1, ::1 or fe80::1
Try specifying -H/--hostname and/or -p/--port

还是执行失败了，因为在dump的时候，会将ipa包导出到Mac电脑，此时需要USB连接设备。所以在dump之前，应该先执行usbConnect.sh脚本

检查dump.py文件中的User、Password、Host、Port，是否和usbConnect.sh脚本中的配置一致

修改Port，将2222修改为12345

执行dump.py脚本

./dump.py 微信
-------------------------
Start the target app 微信
Dumping 微信 to /var/folders/jl/d06jlfkj2ws74_5g45kms07m0000gn/T
[frida-ios-dump]: ilink_network.framework has been loaded.
...
Generating "微信.ipa"

执行成功，在frida-ios-dump目录下，成功导出微信.ipa

可以将其配置为环境变量，方便使用

iOS终端支持中文

iOS终端默认是不支持中文的

创建.inputrc隐藏文件，写入以下代码：

set convert-meta off
set output-meta on
set meta-flag on
set input-meta on

将.inputrc文件，拷贝到手机的/var/root目录下

scp -P 12345 .inputrc root@localhost:/var/root
-------------------------
.inputrc                                      100%   75     8.2KB/s   00:00

在iOS终端，输入中文

总结

砸壳原理

  • 应用加壳：一般应用为了防止反编译分享，会对应用进行加密（加壳）
  • 应用砸壳：砸壳（脱壳）就是解密的过程
    ◦ 静态砸壳：已经知道了解密方式，不需要运行应用的情况下，直接解密
    ◦ 动态砸壳：在应用启动后，从内存中找到应用的位置，dump（内存中导出）数据

Clutch

  • 是一个命令行工具
  • Clutch -i：查看安装的应用程序
  • Clutch -d 应用编号：导出ipa包

dumpdecrypted

  • 是一个动态库，不能独立运行
  • 通过DYLD_INSERT_LIBRARIES环境变量，插入动态库。载入某个进程
  • DYLD_INSERT_LIBRARIES = 库路径（库的可执行文件） MachO路径
  • 9.1以上系统，不允许root用户使用DYLD_INSERT_LIBRARIER方式插入动态库，需要切换成mobile用户

frida-ios-dump

  • 利用frida加载脚本砸壳
  • 安装frida，Mac和iPhone都需要安装
  • 下载frida-ios-dump脚本工具
  • 执行dump.py，参数是应用名称或BundleID

iOS终端支持中文

  • 创建.inputrc隐藏文件，写入代码
  • 拷贝到手机的/var/root目录下
最后编辑于 ：
©著作权归作者所有,转载或内容合作请联系作者
  • 人面猴
    序言：七十年代末，一起剥皮案震惊了整个滨河市，随后出现的几起案子，更是在滨河造成了极大的恐慌，老刑警刘岩，带你破解...
    沈念sama阅读 203,271评论 5赞 476
  • 死咒
    序言：滨河连续发生了三起死亡事件，死亡现场离奇诡异，居然都是意外死亡，警方通过查阅死者的电脑和手机，发现死者居然都...
    沈念sama阅读 85,275评论 2赞 380
  • 救了他两次的神仙让他今天三更去死
    文/潘晓璐 我一进店门，熙熙楼的掌柜王于贵愁眉苦脸地迎上来，“玉大人，你说我怎么就摊上这事。” “怎么了？”我有些...
    开封第一讲书人阅读 150,151评论 0赞 336
  • 道士缉凶录：失踪的卖姜人
    文/不坏的土叔 我叫张陵，是天一观的道长。 经常有香客问我，道长，这世上最难降的妖魔是什么？ 我笑而不...
    开封第一讲书人阅读 54,550评论 1赞 273
  • 港岛之恋（遗憾婚礼）
    正文 为了忘掉前任，我火速办了婚礼，结果婚礼上，老公的妹妹穿的比我还像新娘。我一直安慰自己，他们只是感情好，可当我...
    茶点故事阅读 63,553评论 5赞 365
  • 恶毒庶女顶嫁案：这布局不是一般人想出来的
    文/花漫 我一把揭开白布。 她就那样静静地躺着，像睡着了一般。 火红的嫁衣衬着肌肤如雪。 梳的纹丝不乱的头发上，一...
    开封第一讲书人阅读 48,559评论 1赞 281
  • 城市分裂传说
    那天，我揣着相机与录音，去河边找鬼。 笑死，一个胖子当着我的面吹牛，可吹牛的内容都是我干的。 我是一名探鬼主播，决...
    沈念sama阅读 37,924评论 3赞 395
  • 双鸳鸯连环套：你想象不到人心有多黑
    文/苍兰香墨 我猛地睁开眼，长吁一口气：“原来是场噩梦啊……” “哼！你这毒妇竟也来了？” 一声冷哼从身侧响起，我...
    开封第一讲书人阅读 36,580评论 0赞 257
  • 万荣杀人案实录
    序言：老挝万荣一对情侣失踪，失踪者是张志新（化名）和其女友刘颖，没想到半个月后，有当地人在树林里发现了一具尸体，经...
    沈念sama阅读 40,826评论 1赞 297
  • 护林员之死
    正文 独居荒郊野岭守林人离奇死亡，尸身上长有42处带血的脓包…… 初始之章·张勋 以下内容为张勋视角 年9月15日...
    茶点故事阅读 35,578评论 2赞 320
  • 白月光启示录
    正文 我和宋清朗相恋三年，在试婚纱的时候发现自己被绿了。 大学时的朋友给我发了我未婚夫和他白月光在一起吃饭的照片。...
    茶点故事阅读 37,661评论 1赞 329
  • 活死人
    序言：一个原本活蹦乱跳的男人离奇死亡，死状恐怖，灵堂内的尸体忽然破棺而出，到底是诈尸还是另有隐情，我是刑警宁泽，带...
    沈念sama阅读 33,363评论 4赞 318
  • 日本核电站爆炸内幕
    正文 年R本政府宣布，位于F岛的核电站，受9级特大地震影响，放射性物质发生泄漏。R本人自食恶果不足惜，却给世界环境...
    茶点故事阅读 38,940评论 3赞 307
  • 男人毒药：我在死后第九天来索命
    文/蒙蒙 一、第九天 我趴在偏房一处隐蔽的房顶上张望。 院中可真热闹，春花似锦、人声如沸。这庄子的主人今日做“春日...
    开封第一讲书人阅读 29,926评论 0赞 19
  • 一桩弑父案，背后竟有这般阴谋
    文/苍兰香墨 我抬头看了看天上的太阳。三九已至，却和暖如春，着一层夹袄步出监牢的瞬间，已是汗流浃背。 一阵脚步声响...
    开封第一讲书人阅读 31,156评论 1赞 259
  • 情欲美人皮
    我被黑心中介骗来泰国打工， 没想到刚下飞机就差点儿被人妖公主榨干…… 1. 我叫王不留，地道东北人。 一个月前我还...
    沈念sama阅读 42,872评论 2赞 349
  • 代替公主和亲
    正文 我出身青楼，却偏偏与公主长得像，于是被迫代替她去往敌国和亲。 传闻我的和亲对象是个残疾皇子，可洞房花烛夜当晚...
    茶点故事阅读 42,391评论 2赞 342

推荐阅读更多精彩内容

  • iOS逆向与安全8.1：砸壳、初识Theos
    砸壳 软件脱壳，顾名思义，就是对软件加壳的逆操作，把软件上存在的壳去掉（解密）。 砸壳原理 应用加壳（加密）提交给...
    looha阅读 1,287评论 0赞 2
  • iOS逆向-砸壳上(ⅩI)
    软件脱壳，顾名思义，就是对软件加壳的逆操作，把软件上存在的壳去掉（解密）。 砸壳原理 应用加壳（加密)提交给App...
    鼬殿阅读 899评论 0赞 0
  • iOS砸壳
    一、砸壳 软件脱壳，顾名思义，就是对软件加壳的逆操作，把软件上存在的壳去掉（解密）。 1.1 砸壳原理 1.1.1...
    HotPotCat阅读 9,411评论 0赞 3
  • iOS逆向之砸壳的三种方法--frida、clutch、dumpdecrypted
    很久没有发文章了，最近沉迷逆向无法自拔，开始写点东西做个小总结吧，后续慢慢更新吧，全当记录，共同学习。 方法一、f...
    NBeanN阅读 10,407评论 2赞 9
  • iOS逆向-砸壳
    砸壳 1.Clutch下载release版本,复制到手机/usr/bin目录.①.scp命令复制 scp -P ...
    Double丶K阅读 604评论 0赞 0