引言
上篇九讲到了静态砸壳的过程，砸壳安装到手机上面的文件直接copy出来，大家都知道appstore下载的ipa包是加密过的，当安装到手机上的时候，iOS手机系统会对这个ipa包进行解密，解密完成以后才能安装到手机上面。
扩展说明
动态库的加载？
dyld去加载，动态库加载的时候肯定要依附到一个进程上面
so需要将动态库copy到手机中才能正常的加载这个动态库
PS：在iOS系统中DYLD 中有个环境变量 DYLD_INSERT_LIBRARIES
是告诉某个应用进程我要加载这个动态库
DYLD_INSERT_LIBRARIES的使用
自己创建一个动态库Dumpryptedtest.framework,然后将这个动态库
/**添加代码**/
+(void)load{
NSLog(@"🥜🥜🥜🥜🥜🥜🥜🥜🥜🥜🥜🥜🥜");
}
copy到手机，用usb访问copy
$ scp -r -P xxxx/Dumpryptedtest.framework root@localhost:~/
访问手机然后配置DYLD的环境变量 DYLD_INSERT_LIBRARIES,并且找到某个应用进程，可以使用 ps -A来查看
xxxx-iPhone:~ root# DYLD_INSERT_LIBRARIES=DumpdecryptedTest.framework/DumpdecryptedTest /var/containers/Bundle/Application/84BADE72-308A-4267-B071-BFAFA5DF7AF8/xxx.app/xxx
2018-06-14 00:01:27.138 Keep[14090:743264] 🥜🥜🥜🥜🥜🥜🥜🥜🥜🥜🥜🥜🥜
Abort trap: 6
在iOS系统中可以这么加载这个动态库，只不过加载了一个动态库并没有修改应用程序的源代码
动态库砸壳的原理：
已经在执行的程序，已经放入到了内存,运行中的程序肯定是解密过的，写一个动态库，依附到这个程序，将这个程序的MachO文件Copy出来
下载、安装dumpdecrypted 、copy到手机 ～/目录
首先下载dumpdecrypted
下载完成进入当前目录直接编译
dumpdecrypted目录$ make
生成了一个dumpdecrypted.dylib文件
dumpdecrypted砸壳正题
xxx-iPhone:~ root# DYLD_INSERT_LIBRARIES=dumpdecrypted.dylib /var/containers/Bundle/Application/84BADE72-308A-4267-B071-BFAFA5DF7AF8/xxx.app/xxx
mach-o decryption dumper
DISCLAIMER: This tool is only meant for security research purposes, not for application crackers.
[+] detected 64bit ARM binary in memory.
[+] offset to cryptid found: @0x100018f78(from 0x100018000) = f78
[+] Found encrypted data at address 00004000 of length 44007424 bytes - type 1.
[+] Opening /private/var/containers/Bundle/Application/84BADE72-308A-4267-B071-BFAFA5DF7AF8/xxx.app/xxx for reading.
[+] Reading header
[+] Detecting header type
[+] Executable is a plain MACH-O image
[+] Opening Keep.decrypted for writing.
[+] Copying the not encrypted start of the file
[+] Dumping the decrypted data into the file
[+] Copying the not encrypted remainder of the file
[+] Setting the LC_ENCRYPTION_INFO->cryptid to 0 at offset f78
[+] Closing original file
[+] Closing dump file
xxx-iPhone:~ root# ls
Application\ Support/ Containers/ DumpdecryptedTest.framework/ xxx.decrypted Library/ Media/ dumpdecrypted.dylib*
多了一个xxx.decrypted 这个就是你要的MachO文件解密过的.
将这个MachO移动到你的mobile用户下的Media文件夹，方便ifunboxCopy到桌面
xxxx-iPhone:~ root# mv xxx.decrypted /User/Media/
拖到桌面
当然也可以使用命令copy
xxx $ scp -P 3456 root@localhost:/User/Media/xxx.decrypted ~/Desktop
xxx.decrypted 100% 52MB 11.3MB/s 00:04
检查加密的信息
xxx $ otool -l xxx.decrypted | grep crypt
xxx.decrypted:
cryptoff 16384
cryptsize 44007424
cryptid 0
cryptid 0 检查完成已经解密
遇到的坑
生成的dumpdecrypted.dylib 动态库不能正常使用
错误信息
xxx-iPhone:~ root# DYLD_INSERT_LIBRARIES=dumpdecrypted.dylib /var/containers/Bundle/Application/84BADE72-308A-4267-B071-BFAFA5DF7AF8/xxx.app/xxx
/**报错误**/
dyld: could not load inserted library 'dumpdecrypted.dylib' because no suitable image found. Did find:
dumpdecrypted.dylib: required code signature missing for 'dumpdecrypted.dylib'
/private/var/root/dumpdecrypted.dylib: required code signature missing for '/private/var/root/dumpdecrypted.dylib'
Abort trap: 6
解决方案
对这个动态库进行签名
xxx $ security find-identity -v -p codesigning
.....
xxx $ codesign -fs "Phone Developer: edwards wen (LLG76ELTRW)" DumpdecryptedTest.framework
DumpdecryptedTest.framework: replacing existing signature
有可能大家会疑惑拿到MachO文件了以后没法在IPhone中安装呀？
$ ps -A
/private/var/containers/Bundle/Application/84BADE72-308A-4267-B071-BFAFA5DF7AF8/xxx.app
将这个*.appCopy出来就成上面有打印的信息ok？
