iOS逆向（四）-APP砸壳和class-dump工具的使用

https://www.jianshu.com/p/7ddba865ea21

逆向工具集的安装和使用

iOS 逆向工程的工具分类

• 检查工具
  如：Reveal（界面分析工具）、tcpdump（抓包工具）等

• 反编译工具（反汇编工具-分析二进制文件并得到一些信息）
  如：IDA、Hopper Disassembler、class-dump、yololib等

• 调试工具
  如：lldb、Cycript等

• 开发工具
  如：Xcode、theos等

class-dump介绍

class-dump可以将Mach-O文件中的Objective-C运行时的声明信息导出，即编写OC代码时的.h文件。class-dump只能导出未加密的app头文件，class-dump是对"otool -ov"信息的翻译.以一种我们熟悉的易读的方式呈现。

• otool工具简介
  otool(object file displaying tool):目标文件的展示工具。可以用来发现应用中使用到了那些系统库，调用了那些系统方法。使用了库中那些对象及属性，它是Xcode自带的常用工具。
  终端输入otool会得到如下使用命令：

```
-f print the fat headers
-a print the archive header
-h print the mach header
-l print the load commands
-L print shared libraries used
-D print shared library id name
-t print the text section (disassemble with -v)
-p <routine name>  start dissassemble from routine name
-s <segname> <sectname> print contents of section
-d print the data section
-o print the Objective-C segment
-r print the relocation entries
-S print the table of contents of a library
-T print the table of contents of a dynamic shared library
-M print the module table of a dynamic shared library
-R print the reference table of a dynamic shared library
-I print the indirect symbol table
-H print the two-level hints table
-G print the data in code table
-v print verbosely (symbolically) when possible
-V print disassembled operands symbolically
-c print argument strings of a core file
-X print no leading addresses or headers
-m don't use archive(member) syntax
-B force Thumb disassembly (ARM objects only)
-q use llvm's disassembler (the default)
-Q use otool(1)'s disassembler
-mcpu=arg use `arg' as the cpu for disassembly
-j print opcode bytes
-P print the info plist section as strings
-C print linker optimization hints
--version print the version of /Applications/Xcode.app/Contents/Developer/Toolchains/XcodeDefault.xctoolchain/usr/bin/otool
 ```

• otool简单使用
  == 进入APP包文件目录/../xxoo.app
  $cd ../xx00.app

  == 依赖库的查询
  $otool -L 依赖库名称

  == 是否加壳
  $otool -l WeChat.app/WeChat | grep -B 2 crypt

  1代表加密了，0代表被解密了：
      cmd LC_ENCRYPTION_INFO
  cmdsize 20
  
  

cryptoff 16384
cryptsize 47841280
cryptid 1

    cmd LC_ENCRYPTION_INFO_64
cmdsize 24

cryptoff 16384
cryptsize 51200000
cryptid 1

classdump的使用

1、点击 class-dump下载dmg安装包
2、将class-dump执行文件拖入到/usr/local/bin目录下
3、终端输入class-dump查看版本号检查是否安装成功
4、class-dump的使用命令：
$class-dump -s -S -H /../xx00.app -o /.../heads
5、框架一样可以导出:
$class-dump -s -S -H /System/Library/Frameworks/AppKit.framework -o /.../heads
解释：
/../xx00.app 是app的路径
/../heads 是存放dump出来头文件的文件夹路径

dumpdecrypted砸壳工具

打开两个终端窗口：
打开两个终端窗口：
打开两个终端窗口：
== 一个ssh登录iPhone后，对iPhone进行操作
== 一个操作本地电脑

• 下载dumpdecrypted最新源码
  终端命令：
  git clone https://github.com/stefanesser/dumpdecrypted.git

• make命令编译生成dumpdecrypted.dylib动态库文件（砸壳的锤子）

  • cd 到下载的工程dumpdecrypted目录下
  • 输入终端命令即可：
    $make

• 使用ssh登录越狱的iPhone设备拿到Data和Bundle两个文件路径

==bundle文件路径 （我们需要砸壳的app路径）

方式一：知道app名称情况
$ps -e | grep WeChat 
 1787 ??         0:05.98 /var/containers/Bundle/Application/D28A1C43-2F50-435D-AD0E-DDB14992D63B/WeChat.app/WeChat
 1794 ttys001    0:00.01 grep WeChat

方式二：不知道APP名称，只打开砸壳app
$ps -e 找到含bundle的路径，只会存在一个

/var/containers/Bundle/Application/D28A1C43-2F50-435D-AD0E-DDB14992D63B/WeChat.app/WeChat

==Data文件路径 （放锤子的地方）

$ cycript -p WeChat
cy# directory = NSHomeDirectory()
@"/var/mobile/Containers/Data/Application/E9232D81-80E3-4684-BB0E-FC3643703947"

/var/mobile/Containers/Data/Application/E9232D81-80E3-4684-BB0E-FC3643703947

退出：control+D

• 拷贝dumpdecrypted.dylib到iPhone
  • 打开本地电脑窗口
  • 复制刚刚拿到的Data文件路径，我们要把电脑上生成的dumpdecrypted.dylib放在它的Documents文件目录下
  • 使用ssh传输文件

  $scp /.../dumpdecrypted/dumpdecrypted.dylib   root@192.168.1.2:/var/mobile/Containers/Data/Application/E9232D81-80E3-4684-BB0E-FC3643703947/Documents
  

为什么要把dumpdecrypted.dylib拷贝到Documents目录下操作？
StoreApp对沙盒以外的绝大多数目录是没有写权限。dumpdecrypted.dylib要写一个decrypted文件，但它是运行在StoreApp中的，与StoreApp的权限相同，那么它的写操作就必须发生在StoreApp拥有写权限的路径下才能成功。StoreApp一定是能写入其Documents目录的，因此我们在Documents目录下使用dumpdecrypted.dylib时，保证它能在当前目录下写一个decrypted文件，这就是把dumpdecrypted.dylib拷贝到Documents目录下操作的原因。

• 砸壳

  • 打开ssh连接iPhone的终端窗口
  • cd到Data文件路径的Document目录下也就是我们放锤子的地方
  • 开砸

  DYLD_INSERT_LIBRARIES=dumpdecrypted.dylib /var/containers/Bundle/Application/D28A1C43-2F50-435D-AD0E-DDB14992D63B/WeChat.app/WeChat
  

解释：
注入我们的动态库文件
DYLD_INSERT_LIBRARIES=dumpdecrypted.dylib
APP包路径
/var/containers/Bundle/Application/D28A1C43-2F50-435D-AD0E-DDB14992D63B/WeChat.app/WeChat

• 砸壳错误：

  dyld: could not load inserted library 'dumpdecrypted.dylib' because no suitable image found.  Did find:
    dumpdecrypted.dylib: required code signature missing for 'dumpdecrypted.dylib'
  Abort trap: 6
  

• 重签名再次上传文件即可解决：

  列出可签名证书

  security find-identity -v -p codesigning

  为dumpecrypted.dylib签名

  codesign --force --verify --verbose --sign “iPhone Developer: xxx xxxx (xxxxxxxxxx)” dumpdecrypted.dylib
  

• 微信砸壳后结果

  mach-o decryption dumper
  

• DISCLAIMER: This tool is only meant for security research purposes, not for application crackers.

  [+] detected 64bit ARM binary in memory.
  [-] This mach-o file is not encrypted. Nothing was decrypted.
  

  尴尬了，没有破译文件，没有生成decrypted文件，可能微信做了处理，我们换成简书app再次操作一次，成功拿到破译文件

• 简书砸壳成功

  
  
  

• 拷贝生成的decryption文件到电脑，再使用class-dump导出头文件

  • 回到电脑终端窗口
  • 传输获取的破译文件Hugo.decrypted，去掉decrypted就是我们app的二进制文件

  拷贝命令：
  scp -r root@192.168.1.2:/var/mobile/Containers/Data/Application/E5A9CC73-1EF7-42F7-95BB-D154DA83E1BE/Documents/Hugo.decrypted /Users/Yohann/Desktop/Hugo
  

  • 使用class-dump导出头文件

  class-dump -S -s -H /Users/Yohann/Desktop/Hugo/Hugo.decrypted -o /Users/Yohann/Desktop/Header 
  

• dump如果没有出现东西，可以确定下当前的处理器，加相应参数
  如: class-dump –arch armv7 -S -s -H WeChat.decrypted -o Headers

  其他型号使用相对应的 4（armv7），4s（armv7），5（armv7），5s（arm64），6（arm64），6s（arm64）
  

  • 又尴尬了导出头文件报错，再试一次换为自己公司APP成功

  Error: Cannot find offset for address 0x98000000010080d2 in stringAtAddress:
  

  网上搜索错误信息，得出结论：
  1、class-dump是利用Object-C语言的runtime特性，提取头文件，使用swift或其它语言混编无法提取头信息
  2、使用dumpdecrypted.dylib得不到decrypted破解文件，
  （1）可能是app未加壳，
  （2）无法破解，例如同样的操作对微信无效。
  （3）探索中。。。有见解望留言
  本次砸壳iOS10.0.2