IOS逆向初探

已于 2022-11-24 11:08:39 修改
阅读量2.9k 收藏 14
点赞数 2
分类专栏： IOS逆向 移动安全 文章标签： 信息安全
于 2022-11-24 11:04:46 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_45414878/article/details/128014167
版权

前言

这些文章用于记录学习路上的点点滴滴，也希望能给到刚入门的小伙伴们一点帮助。爱而所向，不负所心。

环境

iphone 6

MacOS Monterey 12.3.1

一、IOS开发语言

Objective-C

Objective-C是iOS操作系统运用的软件开发语言。Objective-C的流行完全是因为iphone的成功。Objective-C是OS 系统的开发语言，是面向对象的编程语言，它是C语言的扩展语言，也是基于C语言的升级语言。

Swift

Swift是苹果在2014年推出的全新开发语言，可以在iOS和Mac 操作系统上与Objective-C一起运行。Swift的本质是Objective-C，它采用了Objective-C的命名参数和动态对象模型，但它结合了C和Objective-C的优点，大大降低了开发iOS的门槛。

二、ipa目录结构

查看ipa文件（以douyu为例），太长了只列举一部分

image-20220729172321689

解压后会生成一个Payload文件夹，里面会有一个.app文件，在IOS里面是应用文件：

Bundle是一个含有可执行的代码及代码所需资源，以特定标准的层次结构组合起来的文件夹。Bundle的内部结构：

  • Info.plist ：存储应用的相关配置、Bundle identifier 和 Executable file 可执行文件名（类似于android的AndroidManifest.xml）

  • Frameworks：当前应用使用的三方 Framework 或 Swift 动态库

  • 资源：其他文件，包括图片资源、配置文件、视频/音频，以及一些与本地化相关的文件

  • _CodeSignature文件夹：ipa包签名文件的存放文件夹

  • Assets.car：Assets.xcassts在编译过程中生成的最终展示文件，默认里面存放各种分辨率图片（测试项目未使用）

  • embedded.mobileprovision：证书配置文件

  • Plugins：App创建的扩展，比如Widget、Push和Share等

  • .Iproj：App所支持的语言文件

  • exec文件：可执行文件，例如widgetExtension

  • 图片资源：.png，.jpg，.webp，.gif

  • 其它资源文件

    .xml，.json

    .plist：项目中使用资源的.plist文件

    .conf：相关的配置文件

    .cer，.der，.p12：钥匙串文件

    .wav：音频文件

    .js，.html

    .nib：Xcode自带的数据文件，包含一个窗口程序和应用程序委托对象

    .sqlite：数据库文件

    .txt：文本文件

    .mom：Xcode创建的数据模型文件

三、安全机制

1、更小的受攻击面

受攻击面：受攻击面是指处理攻击者所提供输入的代码。

就算苹果公司的某些代码中存在漏洞，如果攻击者没法接触这些代码，或者苹果公司根本不会在iOS中包含这些代码，那么攻击者就没法针对这些漏洞开展攻击。因此，关键的做法就是尽可能降低攻击者可以访问（尤其是可以远程访问）的代码量。

例如，iOS不支持Java跟Flsah,不能处理.psd文件。苹果公司自有的.mov格式也只被iOS部分支持，因此很多可以在Mac OS X上播放的.mov文件在iOS上无法播放。虽然iOS原生支持.pdf文件，但只是解析该文件格式的部分特性。

瑕疵越少，攻击者发动漏洞攻击的机会就越小。

2、精简的操作系统

除了减少可能被攻击者利用的代码，苹果公司还精简掉了若干应用，以防为攻击者在进行漏洞攻击时和得手之后提供便利。

例如：iOS设备上没有shell（/bin/sh）；

3、权限分离

iOS使用用户、组和其他传统UNIX文件权限机制分离了各进程；

例如：用户可以直接访问的很多应用，比如Web浏览器、邮件客户端或第三方应用，就是以用户mobile的身份运行的。而多数重要的系统进程则是以特权用户root的身份运行的。其他系统进程则以诸如_wireless和_mdnsresponder这样的用户运行。利用这一模型，那些完全控制了Web浏览器这类进程的攻击者执行的代码会被限制为以用户mobile的身份运行。

来自App Store的应用其行为会受到限制，因为它们也是以用户mobile的身份执行的。

4、代码签名机制

所有的二进制文件（binary）和类库在被内核允许执行之前都必须经过受信任机构（比如苹果公司）的签名。此外，内存中只有那些来自已签名来源的页才会被执行。这意味着应用无法动态地改变行为或完成自身升级。这样做都是为了防止用户从因特网上下载和执行随机的文件。所有的应用都必须从苹果的App Store下载（除非对设备进行配置，使其接受其他的源）。

5、DEP

DEP: Data Execution Prevention，数据执行保护;

处理器能区分哪部分内存是可执行代码以及哪部分内存是数据。DEP不允许数据的执行，只允许代码执行。

当漏洞攻击试图运行有效载荷时，它会将有效载荷注入进程并执行该有效载荷。DEP会让这种攻击行不通，因为有效载荷会被识别为数据而非代码。

iOS中代码签名机制的作用原理与DEP相似。

6、ASLP

ASLP: Address Space Layout Randomization，地址空间布局随机化。

在iOS中，二进制文件、库文件、动态链接文件、栈和堆内存地址的位置全部是随机的。当系统同时具有DEP和ASLR机制时，针对该系统编写漏洞攻击代码的一般方法就完全无效了。在实际应用中，这通常意味着攻击者需要两个漏洞，一个用来获取代码执行权，另一个用来获取内存地址以执行ROP，不然攻击者就需要一个极其特殊的漏洞来做到这两点。

7、沙盒机制

iOS防御机制的最后一环是沙盒。与之前提到的UNIX权限系统相比，沙盒可以对进程可执行的行动提供更细粒度的控制。

例如：MS应用和Web浏览器都是以用户mobile的身份运行的，但它们执行的动作差别很大。SMS应用可能不需要访问Web浏览器的cookie，而Web浏览器不需要访问短信。而来自App Store的第三方应用不应该具有cookie和短信的访问权。

首先，它限制了恶意软件对设备造成的破坏。想象一下，就算恶意软件侥幸通过了App Store的审查流程，被下载到设备上并开始执行，该应用还是会被沙盒规则所限制。它可能会窃取设备上所有的照片和地址簿信息，但它没办法执行发短信或打电话等会直接使用话费的操作。沙盒还让漏洞攻击变得更困难。就算攻击者在减小的受攻击面上找到了漏洞，并绕过ASLR和DEP执行了代码，有效载荷也还是会被限制在沙盒里可访问的内容中。总而言之，所有这些保护机制虽然不能说会完全杜绝恶意软件和漏洞攻击，但也大大加大了攻击的难度。

四、连接IOS

Android是用adb连接PC客户端的，而IOS是使用ssh连接客户端的，并且IOS在越狱状态下root密码默认为 alpine。

OpenSSH

在同一 局域网下可以直接使用OpenSSH（在Cydia中搜索OpenSSH安装）对iPhone进行ssh连接。

ssh root@iPhoneip  #密码:alpine

usbmuxd

将iPhone和mac使用USB连接，使用usbmuxd在mac上进行端口转发，ssh本地ip+映射端口

brew install usbmuxd        #安装
iproxy 1233 22              #将iPhone的22端口映射到mac本地的1234端口
ssh -p 1234 root@127.0.0.1  #ssh连接iPhone

应用的一般安装位置位于：

/private/var/containers/Bundle/Application
/private/var/mobile/Containers/Bundle/Application/
/private/var/mobile/Containers/Data/Application/

五、加壳脱壳

加壳

应用在上传App Store时，App Store会对应用进行加壳操作。

原理：利用特殊的算法，对可执行文件的编码进行改变，比如压缩、加密，以达到保护程序代码的目的。

image-20220801111147379

image-20220801111238857

加壳后的可执行文件不能直接运行，而壳程序能被ldyd文件识别运行后，最后将机密文件进行解密并运行

脱壳

检查

脱壳主要分为两种：
硬脱壳：在电脑上直接进行解密操作，下面提到的两种脱壳方式都是硬脱壳（Clutch、dumpdecrypted）；
动态脱壳：在app运行在手机中后，手机会自动将app进行解密操作，再解密操作完成后，将解密后的app导入到自己的电脑上，得到的就是脱壳后的app；

image-20220801111428376

查看可执行文件是否加壳，解压ipa文件，提取Payload中的可执行文件，以斗鱼IOS测试版为例（还未上架App Store）

otool -l DYZB| grep crypt

cryptid为0，则为脱壳后的应用
cryptid为1，则为未脱壳的应用

image-20220801141507459

接下来以在App Store中上架的生产版的斗鱼为例，app的目录应为 /private/var/containers/Bundle/Application

但是应用的文件名都被加密了，在文件众多的情况下建议使用find命令查找对应的.app文件夹

image-20220801141924982

找到对应的.app文件夹后使用scp将iPhone上的可执行文件复制到mac上，使用otool工具查看，发现已经加壳。

如果出现cryptid字段值为1.则代表加壳了，0就代表为加壳这里是由于该app有两种架构，所以出现的结果有两个。

scp -P 1234 root@127.0.0.1:/private/var/containers/Bundle/Application/BD7D4648-8361-4FBE-A6F5-96271200AECF/DYZB.app/DYZB .

image-20220801142345256

Clutch

github下载 ：https://github.com/KJCracks/Clutch/releases

scp -P 1234 Clutch root@127.0.0.1:/usr/bin/   #复制到手机上
chmod +x Clutch    #赋予执行权限
Clutch -i        #列举未脱壳程序
Clutch -d 1      #对顺序为1的程序进行脱壳，即斗鱼

image-20220801143901431

执行脱壳操作后将DYZB可执行文件复制到mac本地继续检测是否完成脱壳

emmm，事情永远没有那么顺利，不出意外还是出了意外，脱壳失败。查看了网上大佬的一些文章，发现Clutch并不能将所有加壳app进行脱壳

image-20220801152341204

image-20220801152429600

经过测试了几个app之后发现某团外卖可以脱壳，没能脱壳的原因暂未清楚，继续学习。。。

image-20220801163110801

image-20220801163126090

Dumpdecrypted

github下载 ：https://github.com/stefanesser/dumpdecrypted/ #需要自己手动编译

github下载 ：https://github.com/we11cheng/WCdumpdecrypted #已经编译完成 ，若一脱壳失败可选择次项目

make    #.c目录下执行编译
scp -P 1234 dumpdecrypted.dylib root@127.0.0.1:/var/root    #复制到手机的/var/root目录下
DYLD_INSERT_LIBRARIES=dumpdecrypted.dylib 可执行文件路径      #执行脱壳操作

#一般这里会报各种错，解决方案
https://www.jianshu.com/p/843c4b2d118f、https://blog.csdn.net/beizishaizi/article/details/125897113
笔者使用自己编译的文件进行脱壳失败了，应该是xcode sdk版本和ios不一致导致，使用项目二成功脱壳一家arm64架构，armv7的失败

笔者失败报错提示：

image-20220802105335495

脱壳成功提示，当前目录下会生成一个decrypted文件，就是脱完壳的可执行文件，只成功脱了arm64架构的壳，至于armv7也可能是编译的脱壳工具的问题，后续有待考究。

image-20220802105504988

image-20220802105833475

frida-ios-dump

github下载 ：https://github.com/AloneMonkey/frida-ios-dump

mac虚拟机环境问题装了一下午的frida都失败了，最后安装anaconda新建了虚拟环境才成功安装（anaconda真香，谁用谁知道）

pip install -r requirements.txt   #安装依赖库
iproxy 2222 22        #端口转发
frida-ps -U           #列出手机的进程和对应的app
sudo python dump.py 斗鱼    #运行app执行脱壳操作，一定要使用root权限进行操作，否则会卡住不动

脱壳成功会生成新的ipa应用文件，使用otool命令查看显示已经脱壳，目前主流方式也是利用frida-ios-dump进行脱壳

image-20220802181957789

image-20220802182450723

六、反编译

class-dump

github下载：https://github.com/AloneMonkey/MonkeyDev/blob/master/bin/class-dump

class-dump，顾名思义，就是用来dump目标对象 的class信息的工具。它利用Objective-C语言的runtime 特性，将存储在Mach-O文件中的头文件信息提取出 来，并生成对应的.h文件。

使用命令：

-H 反编译的app

-o 反编译得到的.h文件存放目录

/Users/douyu/Downloads/class-dump  -H /Users/douyu/Desktop/DYZB  -o /Users/douyu/Desktop/douyu

image-20220729180820013

image-20220729180933376

只能看到一些函数声明，看不到函数内容，函数具体实现代码存在.m文件中。很久之前能反编译出.m，后因激起群愤，就只能反编译出.h。

加壳的可执行文件dump不出.h头文件，但是可以使用IDA、Ghidra等工具反汇编查看伪c代码分析。

七、反汇编

IDA

因某些不可抗因素后续补充

Ghidra

github下载：https://github.com/NationalSecurityAgency/ghidra/releases

打开Ghidra加载可执行文件，选择第三个，架构随便选一个

image-20220803110252599

image-20220803110315772

image-20220803110349821

等待软件加载，加载结束后便会出现相应的汇编代码和伪c代码，剩下的就是根据需要分析伪c代码了。

image-20220803110059198

八、IOS HOOK

MonkeyDev

安装和导入项目网上都有教程，不做演示（遇见的坑太多了）

因为环境和虚拟机太卡的缘故没能顺利进行hook，后续补充

Frida

后续补充

关于hook的部分后续会通过靶场的形式来演示。

XingHe_0
关注
  • 2
    点赞
  • 踩
  • 14
    收藏
    觉得还不错? 一键收藏
  • 1
    评论
专栏目录
iOS小技能：逆向的一般思路及入门工具
iOS逆向与安全
08-10 1万+
前言重点：入门时的用的工具、一般思路，技术是不断发展的。1、要求熟悉iOS设备的硬件构成、iOS系统的运行原理、丰富的开发经验。2、作用如果把app必做城堡，那逆向工程就是站在更高的纬度进行巧取而不强夺，通过监视甚至进行hook改变app的运行逻辑，从而达到目的。 总之： 1）分析目标程序，获取信息–安全相关，用于评定app的安全级别、获取查杀病毒的方法、构建手机防火墙（逆向系统电话、短信功能）.....................
iOS 逆向编程（二）越狱入门知识，2024年最新2024谈一下当下最合适的Web前端架构
m0_61369817的博客
04-10 880
完美越狱越狱后的 iPhone 可以正常关机和重启不完美越狱越狱后的 iPhone 不可以正常关机和重启(意外情况) iPhone 一旦关机后再开机时，屏幕就会一直停留在启动画面，也就是“白苹果”状态(意外情况) 或者能正常开机，但已经安装的破解软件都无法正常使用，需要将设备与PC连接后，使用软件进行引导才能使用。一般说来，在苹果发布新的iOS固件后，针对该固件的不完美越狱会先发布，随后完美越狱才可能发布。一般较新的系统版本，均为不完美越狱。
iOS逆向初探：揭开iOS App的神秘面纱
08-24 2819
iOS平台逆向是将应用程序的二进制代码（通常是经过编译的）还原为源代码的过程，从而揭示应用程序的内部工作机制。逆向工程师可以通过分析应用程序的代码、数据结构和算法，深入了解应用程序的设计和功能。这对于开发者来说，有助于学习新技术和优化代码；对于安全研究人员来说，有助于发现潜在的漏洞和安全风险。iOS逆向是一个既引人入胜又具有挑战性的领域，能够深入探索应用程序的内部机制。通过逆向工具，开发者可以更好地了解应用程序的工作原理，为代码优化和创新提供灵感。
iOS 逆向编程（三）实操越狱详细流程
最新发布
2401_84092574的博客
05-12 734
自我介绍一下，小编13年上海交大毕业，曾经在小公司待过，也去过华为、OPPO等大厂，18年进入阿里一直到现在。深知大多数初中级Android工程师，想要提升技能，往往是自己摸索成长，自己不成体系的自学效果低效漫长且无助。因此收集整理了一份《2024年Web前端开发全套学习资料》，初衷也很简单，就是希望能够帮助到想自学提升又不知道该从何学起的朋友，同时减轻大家的负担。既有适合小白学习的零基础资料，也有适合3年以上经验的小伙伴深入学习提升的进阶课程，基本涵盖了95%以上Android开发知识点！
iOS逆向攻防实战
u013712343的博客
05-18 2721
iOS逆向攻防实战-从iOS应用的功能或行为入手，通过脱壳、运行时分析、静态分析、动态调试、Hook、注入等一系列技术手段，推导出目标文件的结构、流程、算法、代码等，称为“iOS应用逆向工程。
iOS逆向
qq_43658148的博客
07-08 3501
iOS逆向
IOS逆向-入门篇
Tasfa的博客
07-26 3770
15.MAC登陆的AppleID、邮件登陆的AppleID、AltStrore输入的AppleID以及手机的AppleID必须一致，并且必须保持登陆状态。8.点击菜单栏的App图标->点击Installaltstore->选择IPhone->登陆AppleID。10.邮件(保持打开)->偏好设置->管理插件->允许勾选->重启邮件、AltStore。9.安装Mailplugin->打开邮件应用App->登陆AppleID。11.重新执行步骤2。...
《挑战不用macOS逆向iOS APP》之两百元成本的iOS逆向环境搭建
大数据安全技术学习
04-04 2万+
前者需要小几千的iPhone，后者需要至少大几千的Macbook。本系列文章就是为了解决这两个痛点，全部操作在一百多块钱的iPhone6上完成，且电脑端在r0env/Win上进行演示，让我们康康，这几乎无成本的一套环境，究竟可以让我们走多远，走多深！
iOS逆向工具
04-03
在iOS开发领域，逆向工程是一项重要的技能，它可以帮助开发者理解应用程序的工作原理，查找安全漏洞，或者进行兼容性测试。本文将深入探讨标题为“iOS逆向工具”的主题，包括`debugserver`、`lldb`命令行、`class-...
iOS逆向工程pdf
02-01
iOS逆向工程，下载了的都说好！！！！！！！！！！！！！！！！
iOS逆向技术视频教程
11-05
课时02.iOS系统安全机制 课时03.认识越狱设备 课时04.越狱环境配置 课时05.第一章文档总结 课时06.App结构与构建过程 课时07.寻找控件背后的代码 课时08.数据存储 课时09.类与方法 课时10.runtime特性 课时...
ios逆向技术，thoes项目
11-02
iOS逆向技术是一种深入研究iOS应用内部工作原理的方法，它涉及到对二进制代码的分析、调试和修改，以理解应用程序的行为，或者实现对原生功能的扩展或修改。THoes（Theos）是一个用于iOS逆向工程的开源工具集，它...
iOS 逆向工程学习
06-04
《iOS应用逆向工程：分析与实战》站在普通iOS开发者的角度，从iOS系统架构、文件类型等逆向理论出发，逐一讲解Class-dump、Theos、Cycript、IDA、GDB等最常用逆向工具的使用方法，进而分析使用这些工具时的思考方式...
移动App入侵与逆向破解技术－iOS篇
热门推荐
heiby的博客
07-01 8万+
如果您有耐心看完这篇文章，您将懂得如何着手进行app的分析、追踪、注入等实用的破解技术，另外，通过“入侵”，将帮助您理解如何规避常见的安全漏洞，文章大纲： - 简单介绍ios二进制文件结构与入侵的原理 - 介绍入侵常用的工具和方法，包括pc端和手机端 - 讲解黑客技术中的静态分析和动态分析法 - 通过一个简单的实例，来介绍如何综合运用砸壳、寻找注入点、lldb远程调试、追踪、反汇编技术来进行黑客实战
iOS安全逆向之旅--安全逆向环境搭建和工具使用介绍
编码美丽
11-16 4619
一、前言这一篇文章我们继续介绍iOS安全逆向相关知识，之前已经介绍了一篇入门的文章：iOS安全逆向知识概要简介 介于之前已经了解了Android逆向相关的知识，所以这里会相对比较容易入门...
ios逆向工具有那些
weixin_43343144的博客
04-11 1713
Cycript：一种用于在运行时动态分析和修改 iOS 应用程序的强大工具，可以与应用程序进行交互式调试和注入代码。Frida：一个强大的动态二进制插桩工具，可以在运行时修改应用程序的行为，支持 iOS 和 Android 平台。LLDB：一种新一代的调试器，可以用于调试 iOS 应用程序的二进制代码，提供了比 GDB 更好的性能和易用性。iRET：一种用于自动化 iOS 应用程序逆向工程的工具，可以提供包括类、方法、属性和协议的详细信息。
【iOS逆向与安全】越狱检测与过检测附ida伪代码
m0_59598029的博客
01-28 2164
首先在网上查找一些检测代码放入项目运行，用 ida 打开后 F5 得到下面的用 frida hookhook stathook md5fishhook下面是网上找的源码接下来我将给各位同学划分一张学习计划表！
【iOS逆向与安全】使用ollvm混淆你的源码_
资深程序员，曾自学JAVA，C#，如今从业于网安行业
03-25 1494
简单的入门文章，希望能帮助到你。最后给大家准备了一份大礼包！
反编译framework源码的方法
星辰旋风的博客
05-14 6647
反编译    工作中经常遇到很多第三方应用或Rom需要反编译看源码实现，对于第三方应用很简单拿到apk文件后直接用apktool解开就可以了。但是对于系统应用或framework模块部分就不行了，因为厂包肯定会打开odex，所以将apk或jar包pull到本地后会发现里面只有资源文件或META-INF等，里面没有classes.dex字节码文件。    但是我们知道编译的时候打开odex同时会在相...
安卓逆向vsios逆向
12-29
根据提供的引用内容，我无法直接回答你关于安卓逆向和iOS逆向的问题。引用是关于JavaScript代码线上替换的文章，引用是关于一个插件的介绍。这些内容与安卓逆向和iOS逆向无关。 如果你对安卓逆向和iOS逆向有任何问题，我可以为你提供一些基本的信息和指导。请告诉我你具体想了解哪方面的内容，我将尽力帮助你。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值