IOS逆向初探

已于 2022-11-24 11:08:39 修改
阅读量3.2k 收藏 14
点赞数 2
分类专栏： IOS逆向 移动安全 文章标签： 信息安全
于 2022-11-24 11:04:46 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_45414878/article/details/128014167
版权

前言

这些文章用于记录学习路上的点点滴滴，也希望能给到刚入门的小伙伴们一点帮助。爱而所向，不负所心。

环境

iphone 6

MacOS Monterey 12.3.1

一、IOS开发语言

Objective-C

Objective-C是iOS操作系统运用的软件开发语言。Objective-C的流行完全是因为iphone的成功。Objective-C是OS 系统的开发语言，是面向对象的编程语言，它是C语言的扩展语言，也是基于C语言的升级语言。

Swift

Swift是苹果在2014年推出的全新开发语言，可以在iOS和Mac 操作系统上与Objective-C一起运行。Swift的本质是Objective-C，它采用了Objective-C的命名参数和动态对象模型，但它结合了C和Objective-C的优点，大大降低了开发iOS的门槛。

二、ipa目录结构

查看ipa文件（以douyu为例），太长了只列举一部分

image-20220729172321689

解压后会生成一个Payload文件夹，里面会有一个.app文件，在IOS里面是应用文件：

Bundle是一个含有可执行的代码及代码所需资源，以特定标准的层次结构组合起来的文件夹。Bundle的内部结构：

  • Info.plist ：存储应用的相关配置、Bundle identifier 和 Executable file 可执行文件名（类似于android的AndroidManifest.xml）

  • Frameworks：当前应用使用的三方 Framework 或 Swift 动态库

  • 资源：其他文件，包括图片资源、配置文件、视频/音频，以及一些与本地化相关的文件

  • _CodeSignature文件夹：ipa包签名文件的存放文件夹

  • Assets.car：Assets.xcassts在编译过程中生成的最终展示文件，默认里面存放各种分辨率图片（测试项目未使用）

  • embedded.mobileprovision：证书配置文件

  • Plugins：App创建的扩展，比如Widget、Push和Share等

  • .Iproj：App所支持的语言文件

  • exec文件：可执行文件，例如widgetExtension

  • 图片资源：.png，.jpg，.webp，.gif

  • 其它资源文件

    .xml，.json

    .plist：项目中使用资源的.plist文件

    .conf：相关的配置文件

    .cer，.der，.p12：钥匙串文件

    .wav：音频文件

    .js，.html

    .nib：Xcode自带的数据文件，包含一个窗口程序和应用程序委托对象

    .sqlite：数据库文件

    .txt：文本文件

    .mom：Xcode创建的数据模型文件

三、安全机制

1、更小的受攻击面

受攻击面：受攻击面是指处理攻击者所提供输入的代码。

就算苹果公司的某些代码中存在漏洞，如果攻击者没法接触这些代码，或者苹果公司根本不会在iOS中包含这些代码，那么攻击者就没法针对这些漏洞开展攻击。因此，关键的做法就是尽可能降低攻击者可以访问（尤其是可以远程访问）的代码量。

例如，iOS不支持Java跟Flsah,不能处理.psd文件。苹果公司自有的.mov格式也只被iOS部分支持，因此很多可以在Mac OS X上播放的.mov文件在iOS上无法播放。虽然iOS原生支持.pdf文件，但只是解析该文件格式的部分特性。

瑕疵越少，攻击者发动漏洞攻击的机会就越小。

2、精简的操作系统

除了减少可能被攻击者利用的代码，苹果公司还精简掉了若干应用，以防为攻击者在进行漏洞攻击时和得手之后提供便利。

例如：iOS设备上没有shell（/bin/sh）；

3、权限分离

iOS使用用户、组和其他传统UNIX文件权限机制分离了各进程；

例如：用户可以直接访问的很多应用，比如Web浏览器、邮件客户端或第三方应用，就是以用户mobile的身份运行的。而多数重要的系统进程则是以特权用户root的身份运行的。其他系统进程则以诸如_wireless和_mdnsresponder这样的用户运行。利用这一模型，那些完全控制了Web浏览器这类进程的攻击者执行的代码会被限制为以用户mobile的身份运行。

来自App Store的应用其行为会受到限制，因为它们也是以用户mobile的身份执行的。

4、代码签名机制

所有的二进制文件（binary）和类库在被内核允许执行之前都必须经过受信任机构（比如苹果公司）的签名。此外，内存中只有那些来自已签名来源的页才会被执行。这意味着应用无法动态地改变行为或完成自身升级。这样做都是为了防止用户从因特网上下载和执行随机的文件。所有的应用都必须从苹果的App Store下载（除非对设备进行配置，使其接受其他的源）。

5、DEP

DEP: Data Execution Prevention，数据执行保护;

处理器能区分哪部分内存是可执行代码以及哪部分内存是数据。DEP不允许数据的执行，只允许代码执行。

当漏洞攻击试图运行有效载荷时，它会将有效载荷注入进程并执行该有效载荷。DEP会让这种攻击行不通，因为有效载荷会被识别为数据而非代码。

iOS中代码签名机制的作用原理与DEP相似。

6、ASLP

ASLP: Address Space Layout Randomization，地址空间布局随机化。

在iOS中，二进制文件、库文件、动态链接文件、栈和堆内存地址的位置全部是随机的。当系统同时具有DEP和ASLR机制时，针对该系统编写漏洞攻击代码的一般方法就完全无效了。在实际应用中，这通常意味着攻击者需要两个漏洞，一个用来获取代码执行权，另一个用来获取内存地址以执行ROP，不然攻击者就需要一个极其特殊的漏洞来做到这两点。

7、沙盒机制

iOS防御机制的最后一环是沙盒。与之前提到的UNIX权限系统相比，沙盒可以对进程可执行的行动提供更细粒度的控制。

例如：MS应用和Web浏览器都是以用户mobile的身份运行的，但它们执行的动作差别很大。SMS应用可能不需要访问Web浏览器的cookie，而Web浏览器不需要访问短信。而来自App Store的第三方应用不应该具有cookie和短信的访问权。

首先，它限制了恶意软件对设备造成的破坏。想象一下，就算恶意软件侥幸通过了App Store的审查流程，被下载到设备上并开始执行，该应用还是会被沙盒规则所限制。它可能会窃取设备上所有的照片和地址簿信息，但它没办法执行发短信或打电话等会直接使用话费的操作。沙盒还让漏洞攻击变得更困难。就算攻击者在减小的受攻击面上找到了漏洞，并绕过ASLR和DEP执行了代码，有效载荷也还是会被限制在沙盒里可访问的内容中。总而言之，所有这些保护机制虽然不能说会完全杜绝恶意软件和漏洞攻击，但也大大加大了攻击的难度。

四、连接IOS

Android是用adb连接PC客户端的，而IOS是使用ssh连接客户端的，并且IOS在越狱状态下root密码默认为 alpine。

OpenSSH

在同一 局域网下可以直接使用OpenSSH（在Cydia中搜索OpenSSH安装）对iPhone进行ssh连接。

ssh root@iPhoneip  #密码:alpine

usbmuxd

将iPhone和mac使用USB连接，使用usbmuxd在mac上进行端口转发，ssh本地ip+映射端口

brew install usbmuxd        #安装
iproxy 1233 22              #将iPhone的22端口映射到mac本地的1234端口
ssh -p 1234 root@127.0.0.1  #ssh连接iPhone

应用的一般安装位置位于：

/private/var/containers/Bundle/Application
/private/var/mobile/Containers/Bundle/Application/
/private/var/mobile/Containers/Data/Application/

五、加壳脱壳

加壳

应用在上传App Store时，App Store会对应用进行加壳操作。

原理：利用特殊的算法，对可执行文件的编码进行改变，比如压缩、加密，以达到保护程序代码的目的。

image-20220801111147379

image-20220801111238857

加壳后的可执行文件不能直接运行，而壳程序能被ldyd文件识别运行后，最后将机密文件进行解密并运行

脱壳

检查

脱壳主要分为两种：
硬脱壳：在电脑上直接进行解密操作，下面提到的两种脱壳方式都是硬脱壳（Clutch、dumpdecrypted）；
动态脱壳：在app运行在手机中后，手机会自动将app进行解密操作，再解密操作完成后，将解密后的app导入到自己的电脑上，得到的就是脱壳后的app；

image-20220801111428376

查看可执行文件是否加壳，解压ipa文件，提取Payload中的可执行文件，以斗鱼IOS测试版为例（还未上架App Store）

otool -l DYZB| grep crypt

cryptid为0，则为脱壳后的应用
cryptid为1，则为未脱壳的应用

image-20220801141507459

接下来以在App Store中上架的生产版的斗鱼为例，app的目录应为 /private/var/containers/Bundle/Application

但是应用的文件名都被加密了，在文件众多的情况下建议使用find命令查找对应的.app文件夹

image-20220801141924982

找到对应的.app文件夹后使用scp将iPhone上的可执行文件复制到mac上，使用otool工具查看，发现已经加壳。

如果出现cryptid字段值为1.则代表加壳了，0就代表为加壳这里是由于该app有两种架构，所以出现的结果有两个。

scp -P 1234 root@127.0.0.1:/private/var/containers/Bundle/Application/BD7D4648-8361-4FBE-A6F5-96271200AECF/DYZB.app/DYZB .

image-20220801142345256

Clutch

github下载 ：https://github.com/KJCracks/Clutch/releases

scp -P 1234 Clutch root@127.0.0.1:/usr/bin/   #复制到手机上
chmod +x Clutch    #赋予执行权限
Clutch -i        #列举未脱壳程序
Clutch -d 1      #对顺序为1的程序进行脱壳，即斗鱼

image-20220801143901431

执行脱壳操作后将DYZB可执行文件复制到mac本地继续检测是否完成脱壳

emmm，事情永远没有那么顺利，不出意外还是出了意外，脱壳失败。查看了网上大佬的一些文章，发现Clutch并不能将所有加壳app进行脱壳

image-20220801152341204

image-20220801152429600

经过测试了几个app之后发现某团外卖可以脱壳，没能脱壳的原因暂未清楚，继续学习。。。

image-20220801163110801

image-20220801163126090

Dumpdecrypted

github下载 ：https://github.com/stefanesser/dumpdecrypted/ #需要自己手动编译

github下载 ：https://github.com/we11cheng/WCdumpdecrypted #已经编译完成 ，若一脱壳失败可选择次项目

make    #.c目录下执行编译
scp -P 1234 dumpdecrypted.dylib root@127.0.0.1:/var/root    #复制到手机的/var/root目录下
DYLD_INSERT_LIBRARIES=dumpdecrypted.dylib 可执行文件路径      #执行脱壳操作

#一般这里会报各种错，解决方案
https://www.jianshu.com/p/843c4b2d118f、https://blog.csdn.net/beizishaizi/article/details/125897113
笔者使用自己编译的文件进行脱壳失败了，应该是xcode sdk版本和ios不一致导致，使用项目二成功脱壳一家arm64架构，armv7的失败

笔者失败报错提示：

image-20220802105335495

脱壳成功提示，当前目录下会生成一个decrypted文件，就是脱完壳的可执行文件，只成功脱了arm64架构的壳，至于armv7也可能是编译的脱壳工具的问题，后续有待考究。

image-20220802105504988

image-20220802105833475

frida-ios-dump

github下载 ：https://github.com/AloneMonkey/frida-ios-dump

mac虚拟机环境问题装了一下午的frida都失败了，最后安装anaconda新建了虚拟环境才成功安装（anaconda真香，谁用谁知道）

pip install -r requirements.txt   #安装依赖库
iproxy 2222 22        #端口转发
frida-ps -U           #列出手机的进程和对应的app
sudo python dump.py 斗鱼    #运行app执行脱壳操作，一定要使用root权限进行操作，否则会卡住不动

脱壳成功会生成新的ipa应用文件，使用otool命令查看显示已经脱壳，目前主流方式也是利用frida-ios-dump进行脱壳

image-20220802181957789

image-20220802182450723

六、反编译

class-dump

github下载：https://github.com/AloneMonkey/MonkeyDev/blob/master/bin/class-dump

class-dump，顾名思义，就是用来dump目标对象 的class信息的工具。它利用Objective-C语言的runtime 特性，将存储在Mach-O文件中的头文件信息提取出 来，并生成对应的.h文件。

使用命令：

-H 反编译的app

-o 反编译得到的.h文件存放目录

/Users/douyu/Downloads/class-dump  -H /Users/douyu/Desktop/DYZB  -o /Users/douyu/Desktop/douyu

image-20220729180820013

image-20220729180933376

只能看到一些函数声明，看不到函数内容，函数具体实现代码存在.m文件中。很久之前能反编译出.m，后因激起群愤，就只能反编译出.h。

加壳的可执行文件dump不出.h头文件，但是可以使用IDA、Ghidra等工具反汇编查看伪c代码分析。

七、反汇编

IDA

因某些不可抗因素后续补充

Ghidra

github下载：https://github.com/NationalSecurityAgency/ghidra/releases

打开Ghidra加载可执行文件，选择第三个，架构随便选一个

image-20220803110252599

image-20220803110315772

image-20220803110349821

等待软件加载，加载结束后便会出现相应的汇编代码和伪c代码，剩下的就是根据需要分析伪c代码了。

image-20220803110059198

八、IOS HOOK

MonkeyDev

安装和导入项目网上都有教程，不做演示（遇见的坑太多了）

因为环境和虚拟机太卡的缘故没能顺利进行hook，后续补充

Frida

后续补充

关于hook的部分后续会通过靶场的形式来演示。

XingHe_0
关注
专栏目录
iOS逆向工程笔记
dhq199023的博客
08-16 1105
Cycript是一款脚本语言，可以看作是Objective-JavaScript，它可以帮助我们轻松测试和验证函数效果。在越狱手机中可以通过注入方式在第三方应用中运行也可以用静态库的方式把cycript集成到自己的应用(MonkeyDev，可以给非越狱iOS第三方App写插件，但是权限受沙盒限制)在越狱手机中安装Cycript在Cydia上搜索Cycript进行安装Cycript使用（注入到第三方进程空间）注入Cycript模块到第三方进程//确认进程名或者进程PID1368??
初探iOS逆向工程+微信小牛试刀
AirSars001的博客
02-15 4196
何为逆向工程？逆向工程，指的是通过分析一个程序或系统的功能、结构或行为，将它的技术实现或设计细节推导出来的过程。当我们对一个软件的功能很感兴趣，却又拿不到它的源代码时，往往可以通过逆向工程的方式对它进行分析。推荐的书籍：iOS逆向交流论坛：http://iosre.com/开始尝试简单的微信抢红包应用脱壳：准备工作 一台已越狱的iPhone5s以上机器（已安装OpenSSH和Cycript,砸壳用）
iOS逆向
qq_43658148的博客
07-08 3654
iOS逆向
不装了，整点干货——IOS逆向环境搭建
最新发布
2401_84215240的博客
09-25 1224
平常项目中常常会遇到客户有ios端app的测试需求，那么有一台苹果测试机就相当重要了，本文就讲讲如何方便快捷的搭建好我们的ios测试环境，避免大伙踩坑。与电脑连接iPhone官方推荐方式是使用iTunes，但是为了后续操作方便，因此这里我们推荐使用功能更加强大的爱思助手进行操作。直接去官网下载安装爱思助手，打开并在手机上信任此电脑下载安装并用数据线连接电脑后可以查看详细的设备信息使用爱思助手的一键越狱功能，位于工具箱——>一键越狱查看爱思助手的越狱方式可以看到。
IOS逆向-入门篇
Tasfa的博客
07-26 4170
15.MAC登陆的AppleID、邮件登陆的AppleID、AltStrore输入的AppleID以及手机的AppleID必须一致，并且必须保持登陆状态。8.点击菜单栏的App图标->点击Installaltstore->选择IPhone->登陆AppleID。10.邮件(保持打开)->偏好设置->管理插件->允许勾选->重启邮件、AltStore。9.安装Mailplugin->打开邮件应用App->登陆AppleID。11.重新执行步骤2。...
iOS逆向初探：揭开iOS App的神秘面纱
08-24 3572
iOS平台逆向是将应用程序的二进制代码（通常是经过编译的）还原为源代码的过程，从而揭示应用程序的内部工作机制。逆向工程师可以通过分析应用程序的代码、数据结构和算法，深入了解应用程序的设计和功能。这对于开发者来说，有助于学习新技术和优化代码；对于安全研究人员来说，有助于发现潜在的漏洞和安全风险。iOS逆向是一个既引人入胜又具有挑战性的领域，能够深入探索应用程序的内部机制。通过逆向工具，开发者可以更好地了解应用程序的工作原理，为代码优化和创新提供灵感。
iOS逆向工程概述
wu__di的博客
02-08 2745
请点击此处输入图片描述 ​逆向工程一词，对很多人来说可能很陌生，在android领域，我们经常会听到“反编译某个apk”，那么逆向工程从某种角度讲也包括反编译这项技术，这样一对比，可能我们就更容易理解逆向工程的定义了。 我们引用百度百科对这个词更加精准地解释： 逆向工程（又称逆向技术），是一种产品设计技术再现过程，即对一项目标产品进行逆向分析及研究，从而演绎并得出该产品的处理
iOS逆向 - 应用安全攻防(越狱与非越狱)
Appleteachers的博客
04-13 1096
iOS 逆向篇章目录 : • 1️⃣、RSA加密原理&密码学&HASH • 2️⃣、应用签名原理及重签名 (重签微信应用实战) • 3️⃣、shell 脚本自动重签名与代码注入 • 4️⃣、重签应用调试与代码修改 (Hook) • 5️⃣、Mach-O文件 • 6️⃣、Hook / fishHook 原理与符号表 • 7️⃣、LLDB由浅至深 • 8️⃣、lldb高级篇 Chisel 与 Cycript • 9️⃣、越狱初探 • ????、实战篇-钉钉打卡插件 前言 逆向篇章从前导知识到工具
逆向一个IOS CrackMe
Keep going
03-29 1740
本文记录一次逆向IOS应用的过程，探索了Fat Mach-O文件结构，介绍了手动将ARM AArch64汇编代码反编译为C语言伪码的知识。
iOS代码混淆初探
TuGeLe的博客
09-18 1820
iOS代码混淆初探 在没有对应用的代码做过特殊处理的情况下，一般应用的代码中的类名和方法都是明文的。在逆向分析中，通过class-dump获取MachO可执行文件中的所有类、定义的方法和属性，就能很快的从名字入手猜到这个方法是做什么用的，所以类名和方法名的混淆就特别重要了。 方法一：运用宏定义的方式进行混淆 这是一种比较简单又方便的做法，我们只需要在release打包时将现有工程里面的类名和方法名...
小试 Xcode 逆向：App 内存监控原理初探(逆向技术必看)
AAjjx的博客
05-28 501
前言 最近看到公司同事的《iOS内存那些事》系列文章，其中的一篇文章讲了他在研究WebKit中内存管理的时候，发现可以用phys_footprint来衡量内存，其结果和xcode debug显示的值基本一致。文章通读下来，收获颇丰~回味之余，突然脑洞了一下，为啥不直接逆向一下Xcode，学习一下xcode debug app时它是怎么实现内存监控的？刚好最近在自学逆向知识，顺便也来练练手~ 动手实践 准备一个小项目 运行一下，我们可以在debug面板看到memory report信息 lldb和hoppe
iOS逆向技术视频教程
11-05
课时01.初识逆向工程 课时02.iOS系统安全机制 课时03.认识越狱设备 课时04.越狱环境配置 课时05.第一章文档总结 课时06.App结构与构建过程 课时07.寻找控件背后的代码 课时08.数据存储 课时09.类与方法 课时10.runtime特性 课时11.认识Hook 课时12.Hook原理 课时13.ARM汇编(上) 课时14.ARM汇编(下) 课时15.Mach-O文件格式(上) 课时16.Mach-O文件格式(下) 课时17.App签名 课时18.动态库 课时19.第二章文档总结 课时20.应用砸壳 课时21.class-dump 课时22.Reveal 课时23.Cycript 课时24.网络抓包 课时25.静态分析 课时26.动态调试 课时27.theos(上) 课时28.theos(下) 课时29.第三章文档总结 课时30.去除OPlayer.Lite的广告(上) 课时31.去除OPlayer.Lite的广告(下) 课时32.分析WhatsApp聊天(上) 课时33.分析WhatsApp聊天(下) 课时34.Snapchat消息收发(上) 课时35.Snapchat消息收发(下) 课时36.迁移到非越狱机器 课时37.FrIDA在逆向中的应用(上) 课时38.Frida在逆向中的应用(中) 课时39.Frida在逆向中的应用(下) 课时40.代码保护基础 课时41.数据加密 课时42.反调试和反注入(上) 课时43.反调试和反注入(下) 课时44.代码混淆(上) 课时45.代码混淆(下)
IOS逆向分析—终极详细（三）
sheldonma的博客
06-20 1538
IOS逆向分析—终极详细（三）前言一、逆向分析是什么？二、越狱1.所有方法2.尝试的方法3.成功的方法三、mac终端连接iPhone总结 前言 本文是个人完成对IOS上APP分析的整个过程，当然对于不同的机型还会遇到不同的情况，谨以此文供大家参考，如有错误，望大佬们多多指教 一、逆向分析是什么？ 逆向工程（又称反向工程），是一种技术过程，即对一项目标产品进行逆向分析及研究，从而演绎并得出该产品的处理流程、组织结构、功能性能规格等设计要素，以制作出功能相近，但又不完全一样的产品。逆向工程源于商业及军.
iOS逆向攻防实战
u013712343的博客
05-18 3082
iOS逆向攻防实战-从iOS应用的功能或行为入手，通过脱壳、运行时分析、静态分析、动态调试、Hook、注入等一系列技术手段，推导出目标文件的结构、流程、算法、代码等，称为“iOS应用逆向工程。
iOS逆向研究01
no pain !no gain !
09-04 2250
iOS逆向环境介绍 Drawin体系 Cydia - 越狱iOS的软件管理平台 Cydia 之父 - Jay Freeman杰 弗里曼 Cycript工具介绍作者saurik官网httpwwwcycriptorg 逆向的你基本思路 程序进程线程内存结构的概念 逆向工具集和安装和使用==iOS逆向环境介绍==* 越狱环境：iphone5s iOS 8.3*luz-iphone:~ root# unam
ios逆向
qq_20913021的博客
05-03 3356
虽然iOS系统相比于其他手机操作系统相对安全，但是这个安全并不是绝对的。此文想以实际例子出发，告诉大家，如何去反编译一个app。
iOS逆向 - 环境搭建
Darenfy 随记
03-19 1051
学习笔记主要基于 《iOS 应用逆向与安全之道》 《iOS 应用逆向工程 第二版》 相关网站： https://www.chinapyg.com iosre.com bbs.pediy.com 手机型号：iphone5s 手机版本： 12.5.1 系统版本：10.15.7 Xcode 版本：12.3 MacOS工具 爱思助手 https://www.i4.cn/ MachOView https://github.com/fangshufeng/MachOView 010 editor iOS.
iOS逆向学习笔记(一)
一个帅气潇洒的豆子
01-06 1190
1.调试设备 iPhone 5S（因为从5S开始支持arm64) 2.系统版本 iOS 9.1完美越狱 1.什么是iOS Jailbreak？ 利用iOS系统的漏洞，获取iOS系统的最高权限（Root），解开之前的各种限制（合法行为） 2.iOS Jailbreak的优点 打造个性化、与众不同的iPhone 自由安装各种实用的插件、主题、APP 修改系统APP的一些默认行为 自由安装非...
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值