hook监控限制_iOS逆向之hook控制中心开关

控制中心中的快捷开关(iPad mini2 9.3.1)

iOS的控制中心(Control Center，底部上拉出现的快捷菜单)提供了几个快捷开关方便操作。如中间的飞行模式、WIFI、蓝牙、勿扰模式、旋转锁定，右下的Night Shift等。就是没有GPS定位开关。

苹果对开发者申请定位权限提供了两个选项，一个是始终(Always)，用于需要常驻后台的导航之类的应用。还有一个是使用应用期间(While Using the App)，就是给普通应用获取个用户所在城市之类用的。如果大家都遵守规则申请需要的权限也没啥事，但是架不住国内流氓太多，不管什么应用都要始终权限，还不能选使用应用期间，一旦授权始终，就算不用这个应用，它在后台也可以时不时的获取定位。一直开着定位的话，一来费电，二来泄露隐私。所以，一般能不给权限的应用尽量不给，比如看天气，团购类的应用，手动选择不影响使用。不给定位没法用的，比如导航，运动记录类的应用，应用里授权，总的定位权限要用了在开，用完了就关。这就需要经常开关定位了。

只申请始终定位权的几个例子

既然苹果没有提供，那就只能自己折腾了。比较简单的方法是选个不常用的开关，让他完成开关定位的功能。

比如Night Shift，因为Night Shift可以设置时间段自动启用。基本不需要在控制中心中手动设置。

Night Shift可以设置时间段自动启用

具体分析下完成这个功能需要两个步骤：先要找到调用开关的方法。再hook这个方法完成修改定位设置。

首先要找到调用开关的方法：

因为要hook的快捷开关在控制中心里，所以可以先在iOS文件系统里搜索controlcenter这个关键字找下具体位置。

7de-iPad:~ root# grep -r controlcenter /

Binary file /Library/Application Support/AggregateDictionary/Whitelist.plist matches

Binary file /Library/Application Support/AggregateDictionary/keys.dat matches

Binary file /System/Library/Caches/com.apple.dyld/dyld_shared_cache_arm64 matches

Binary file /System/Library/Caches/com.apple.dyld/dyld_shared_cache_armv7s matches

Binary file /System/Library/CoreServices/SpringBoard.app/SpringBoard matches

grep: /System/Library/Frameworks/IOKit.framework/IOKit: No such file or directory

grep: /System/Library/Frameworks/System.framework/System: No such file or directory

grep: /System/Library/Frameworks/System.framework/Versions/Current: No such file or directory

grep: /System/Library/PrivateFrameworks/LocationBundles/MDM.framework: No such file or directory

...

其中第五条记录在是SpringBoard中找到了controlcenter，确实控制中心也是从桌面划出来的，可以以此为线索class-dump出SpringBoard头文件看下。

把iPad中的SpringBoard.app拷出来，可以用iFunBox 或者scp命令

scp -r root@iPad的局域网IP:/System/Library/CoreServices/SpringBoard.app /Users/netx/Workspace

然后终端进入SpringBoard.app执行class-dump命令

class-dump -S -s -H SpringBoard -o /Users/netx/Workspace/SBHeaders

执行完成后可以在/Users/netx/Workspace/SBHeaders目录下看到一堆的头文件。

新建个Xcode项目把这些头文件拖进去方便查找。

搜索controlcenter，看上去有用的有SBControlCenterButton，SBControlCenterButtonSettings，SBControlCenterController，SBControlCenterViewController。

SpringBoard头文件中的controlcenter搜索结果

再搜搜nightshift，只有一个SBCCNightShiftSetting。

SpringBoard头文件中的nightshift搜索结果

点进去看看。

// SBCCNightShiftSetting.h

#import "SBCCSettingModule.h"

@class CBBlueLightClient;

@interface SBCCNightShiftSetting : SBCCSettingModule

{

CBBlueLightClient *_blueLightReductionClient;

CDStruct_0b0a24e2 _currentStatus;

}

+ (_Bool)_isSupported;

+ (id)displayName;

+ (id)identifier;

+ (_Bool)isSupported:(int)arg1;

- (void).cxx_destruct;

- (id)_alertControllerForDisablingAccessibilityScreenFilter:(CDUnknownBlockType)arg1 cancelBlock:(CDUnknownBlockType)arg2;

- (id)_formatCardinalityForTransitionTime:(CDStruct_bdf7039f)arg1 forLocale:(id)arg2;

- (void)_getBlueLightStatus:(CDUnknownBlockType)arg1;

- (void)_setNightShiftEnabled:(_Bool)arg1;

- (id)_statusUpdateForBlueLightStatus:(CDStruct_0b0a24e2)arg1;

- (id)_statusUpdateForBlueLightStatus:(CDStruct_0b0a24e2)arg1 forLocale:(id)arg2;

- (id)_statusUpdateFormatStringForBlueLightEnabled:(_Bool)arg1 transitionTime:(CDStruct_bdf7039f)arg2;

- (id)_statusUpdateFormatStringForBlueLightEnabled:(_Bool)arg1 transitionTime:(CDStruct_bdf7039f)arg2 forLocale:(id)arg3;

- (id)_timeFormatterForLocale:(id)arg1;

- (id)_timeStringForBlueLightTransitionTime:(CDStruct_bdf7039f)arg1;

- (id)_timeStringForBlueLightTransitionTime:(CDStruct_bdf7039f)arg1 forLocale:(id)arg2;

- (_Bool)_toggleState;

- (void)_updateState;

- (_Bool)_uses24HourTimeForLocale:(id)arg1;

- (void)activate;

- (id)aggdKey;

- (void)deactivate;

- (id)glyphImageForState:(int)arg1;

- (_Bool)isRestricted;

- (id)statusUpdate;

@end

有个_toggleState方法，用cycript测试下调这个方法会不会触发屏幕色温变化。

ssh到iPad执行cycript -p SpringBoard

用choose(SBCCNightShiftSetting)找下有没有SBCCNightShiftSetting实例

7de-iPad:~ root# cycript -p SpringBoard

cy# choose(SBCCNightShiftSetting)

[#""]

cy#

找到之后用#实例的内存地址调用下_toggleState，输入[#0x15210f3a0 _toggleState] ,可以看到night shift被开启了，再输入一次[#0x15210f3a0_toggleState]命令，nightshift被关闭了，就是它了。(屏幕色温的变换无法在录制中看到，不过可以看到按钮状态的变化，实际屏幕是有变黄屏，再变回正常色温这个过程。)

测试_toggleState

现在完成了第一步，接下来就是怎么修改定位设置。

定位首先想到的就是CoreLocation，在开发过程中要查询定位是否可用也都用[CLLocationManager locationServicesEnabled]，查看CLLocationManager的API没发现有设置定位相关的方法。求助万能的Google，搜到一条相关的讨论，提到了+(void)setLocationServicesEnabled:(BOOL)enabled;这个私有方法，我们再用cycrpit测试下。

先在隐私(Privacy)中把定位关闭。运行[CLLocationManager setLocationServicesEnabled:YES]，好像设置没改，切换其他的选项卡再回来看看，定位被打开了，看来是界面没有刷新。在试试[CLLocationManager setLocationServicesEnabled:NO]，同样先切换其他的选项卡在切回来，定位被关闭了。说明这个方法确实可以操作定位设置。

测试setLocationServicesEnabled:

接下来只需要hookSBCCNightShiftSetting的_toggleState方法，在内部调用下[CLLocationManager setLocationServicesEnabled:]就可以了。

安装Theos，在Mac终端中输入nic.pl，选择[11.] iphone/tweak(序号可能不同)新建Tweak，输入项目名称NightShift2Location，包名，作者，需要tweak的对象包名(默认springboard)，tweak安装完成后需要重启的应用名(默认springboard)，这个tweak工程就创建完成了。

需要在Tweak.xm中写hook代码。

%hook SBCCNightShiftSetting

-(void)_toggleState

{

%orig; // 调用原方法

[CLLocationManager setLocationServicesEnabled:self.state]; // 用nightshift的状态设置定位

}

%end

修改control 和Makefile

// control

Package: com.netx.nightshift2location

Name: NightShift2Location

Depends: mobilesubstrate, firmware (>=8.0)

Version: 0.0.1

Architecture: iphoneos-arm

Description: Make Night Shift Setting of ControlCenter toggle Location Setting.

Maintainer: netx

Author: netx

Section: Tweaks

// Makefile

THEOS_DEVICE_IP = 192.168.1.106 // iPad的局域网IP

ARCHS= armv7 arm64

TARGET = iphone:latest:8.0

include $(THEOS)/makefiles/common.mk

TWEAK_NAME = NightShift2Location

NightShift2Location_FILES = Tweak.xm

NightShift2Location_FRAMEWORKS = UIKit

include $(THEOS_MAKE_PATH)/tweak.mk

after-install::

install.exec "killall -9 SpringBoard"

还需要写两个头文件骗过编译器，并在tweak.xm中导入。

// CLLocationManager.h

#import

@interface CLLocationManager()

+ (void)setLocationServicesEnabled:(BOOL)enabled;

@end

// SBCCNightShiftSetting.h

@interface SBCCNightShiftSetting : NSObject

- (int)state;

@end

在终端输入 make package install 安装到iPad，测试可用。这个tweak就算完成了。^ ^

测试效果