动态库注入

最新推荐文章于 2024-09-08 22:49:14 发布
最新推荐文章于 2024-09-08 22:49:14 发布
阅读量1.1k 收藏 3
点赞数 1
分类专栏： iOS逆向 文章标签： 动态库注入
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/yahibo/article/details/102655369
版权

dylib.png

一、前言
二、注入思路
三、动态库注入实现
四、分析实现按钮监听
五、实战修改微信步数

一、前言

在文章《应用签名-脚本签名》中介绍了如何在真机上运行破壳应用（抖音、微信、支付宝等ipa包），来观察应用视图的层级结构，方法调用，类名称等，以便学习参考。应用主要与后台进行数据交互展示（数据拉取及提交数据），既然能对破壳应用重签名并在真机上运行，那么能不能修改应用数据和页面展示呢，如监听微信登录按钮，修改微信步数，下面就这两个功能拓展一下思路。

二、注入思路

在ipa包中，主要包含了应用签名、资源文件、Frameworks文件、info.plist配置文件及与ipa包同名的可执行通用文件（这里包含了具体的业务执行指令）。在《Mach-O》中我们对Mach-O文件有一个初步了解，主要有Header、Load commands、Data三部分组成。

Header：包含Mach-O文件的基本信息，字节顺序、架构类型、加载指令的数量等；
Load commands：包含区域位置、符号表、动态符号表，加载Mach-O文件时使用这里的数据确定内存分布；
Data：数据段segement，包含具体代码、常量、类、方法等。

如果要向已有应用ipa中加入自己的代码，必须对Mach-O进行修改重组。根据已有开发经验有思路两个：

1、修改功能代码，向Mach-O中的Data部分增删改数据段；
2、另一个是添加动态库，利用runtime对原始代码进行方法替换，数据、UI的修改。

第一种方案需要分析Mach-O对应的汇编代码，来修改功能，操作较繁琐；第二种方案，需要我们向ipa包下的Frameworks中添加写好的动态库，并向Load commands添加动态库加载指令，同时还需要修改Header中对应的基本信息，相对于第一种不用做汇编指令分析了。

以上只是个人的一些思考，这里就不去研究具体的注入过程，直接使用一个第三方库来完成动态库的注入，先完成微信登录按钮的监听，以后再对具体的操作进一步学习研究。

第三方动态库注入工具：yololib

三、动态库注入实现

破壳ipa获取：
1、通过越狱手机获取破壳应用；
2、通过PP助手获取越狱应用。

在《应用签名-脚本签名》中实现了对破壳应用的重签名，并运行在真机上可供调试。

1、创建新工程
常规创建，工程名InsertCode（工程名随意）：

project.png

2、插入签名脚本、获取破壳ipa包，放入app文件中

file.png

  • app内的ipa包不建议导入工程，放在文件中即可（可能要加入其他应用包）
  • SignApp.sh脚本放在tool文件下

SignApp.sh脚本如下：

##!/bin/sh
#
##  SignApp.sh
##  inserCode
##
##  Created by hibo on 2019/10/15.
##  Copyright © 2019 hibo. All rights reserved.
#
##定义目录路径 ${SRCROOT}为当前工程的根目录
#
#目标文件路径
BUILD_APP_PATH="$BUILT_PRODUCTS_DIR/$TARGET_NAME.app"
#Info文件路径
TARGET_INFO_PLIST=$BUILD_APP_PATH/Info.plist
#定义临时目录变量，存放解.ipa后产生的临时文件
TEMP_PATH="${SRCROOT}/temp"
#tool路径
TOOL_PATH="${SRCROOT}/tool"
#定义APP资源目录变量，存放要重签名的APP
APP_PATH="${SRCROOT}/app"
#定义ipa包路径
IPA_PATH="${APP_PATH}/*.ipa"


#移除临时文件，并重新创建文件夹
rm -rf "${TEMP_PATH}"
mkdir -p "${TEMP_PATH}"



###########1、解压ipa到指定的文件下###########
unzip -o "$IPA_PATH" -d "$TEMP_PATH"
#获取临时app路径
TEMP_APP_PATH=$(set -- "$TEMP_PATH/Payload/"*.app;echo "$1")
echo ".app文件路径：$TEMP_APP_PATH"

###########2、创建en.plist权限文件###########
#Xcode中会生成权限文件，注意将生成的目标文件中的权限文件移动到TEMP_APP_PATH中
echo "目标代码路径:$BUILD_APP_PATH"
cp -rf "$BUILD_APP_PATH/embedded.mobileprovision" "$TEMP_APP_PATH/"

###########3、修改应用info.plist中的BundleId、displayName###########
#设置 "Set :KEY Value" "Info.plist"
/usr/libexec/PlistBuddy -c "Set :CFBundleIdentifier $PRODUCT_BUNDLE_IDENTIFIER" "$TEMP_APP_PATH/Info.plist"
#获取名称并设置到目标文件中的Info.plist文件中
TARGET_DISPLAY_NAME=$(/usr/libexec/PlistBuddy -c "Print CFBundleDisplayName" "$TARGET_INFO_PLIST")
/usr/libexec/PlistBuddy -c "Set :CFBundleDisplayName $TARGET_DISPLAY_NAME" "$TEMP_APP_PATH/Info.plist"
echo "plist路径：$TARGET_INFO_PLIST"
echo "显示名称：$TARGET_DISPLAY_NAME"

if [[ "$TARGET_DISPLAY_NAME" != "" ]]; then
    for file in `ls "$TEMP_APP_PATH"`;
    do
        extension="${file#*.}"
        if [[ -d "$TEMP_APP_PATH/$file" ]]; then
            if [[ "$extension" == "lproj" ]]; then
                if [[ -f "$TEMP_APP_PATH/$file/InfoPlist.strings" ]];then
                    /usr/libexec/PlistBuddy -c "Set :CFBundleDisplayName $TARGET_DISPLAY_NAME" "$TEMP_APP_PATH/$file/InfoPlist.strings"
                fi
            fi
        fi
    done
fi


###########4、删除扩展应用及插件###########
echo "Removing PlugIns and Watch"
rm -rf "$TEMP_APP_PATH/PlugIns"
rm -rf "$TEMP_APP_PATH/Watch"
#rm -rf "$TEMP_APP_PATH/com.apple.WatchPlaceholder"


###########5、给可执行文件执行权限###########
#获取可执行文件路径
APP_BINARY=`plutil -convert xml1 -o - $TEMP_APP_PATH/Info.plist|grep -A1 Exec|tail -n1|cut -f2 -d\>|cut -f1 -d\<`
#给可执行文件权限
chmod +x "$TEMP_APP_PATH/$APP_BINARY"


###########6、重新签名Frameworks下的所有动态库###########
#获取动态库路径
APP_FRAMEWORKS_PATH="$TEMP_APP_PATH/Frameworks"
#判断文件是否存在
if [ -d "$APP_FRAMEWORKS_PATH" ]
then
#遍历所有动态库
for FRAMEWORK in "$APP_FRAMEWORKS_PATH/"*
do
echo "framework: $FRAMEWORK"
#对动态库签名 $EXPANDED_CODE_SIGN_IDENTITY xcode上的证书
/usr/bin/codesign -fs "$EXPANDED_CODE_SIGN_IDENTITY" "$FRAMEWORK"
echo "EXPANDED_CODE_SIGN_IDENTITY:$EXPANDED_CODE_SIGN_IDENTITY  FRAMEWORK:$FRAMEWORK"
done
fi

###########7、将修改后的.app移动到xcode对应的Products下###########
#BUILT_PRODUCTS_DIR xcode生成的.app包路径
#TARGET_NAME 应用名称
rm -rf "$BUILD_APP_PATH"
mkdir -p "$BUILD_APP_PATH"
cp -rf "$TEMP_APP_PATH/" "$BUILD_APP_PATH/"

###########8、注入到可执行文件中###########
if [ -d "$BUILT_PRODUCTS_DIR/HBHook.framework" ]
then
${SRCROOT}/tool/yololib "$BUILD_APP_PATH/$APP_BINARY" "Frameworks/HBHook.framework/HBHook"
else
echo "没有该文件"
fi

3、真机运行，执行要查看的ipa包

选择证书，在真机上运行，ipa会被安装至手机上，注意这里的ipa必须是破壳的，并具有相同架构配置的ipa否则安装失败。

4、创建Frameworks文件

framework.png

在动态库文件下创建Insert类：

create.png

  • 创建动态库文件，用来做方法替换

在runtime中通常会使用+load方法，该方法会在编译期被调用，因此在应用运行前，对应用内部方法动动手脚。下面先在load方法中插入打印代码，再向ipa包中插入动态库，看看是否能够插入到新包中。

代码：

@implementation Insert
+ (void)load {
    NSLog(@"插入成功");
}
@end

5、引入注入工具yololib

下载 yololib 并编译（或直接拿到可执行文件），将可执行文件复制到工程中的tool目录下，注意给执行权限。

yololib.png

在SignApp.sh脚本最后一行插入注入指令：

#注入
if [ -d "$BUILT_PRODUCTS_DIR/HBHook.framework" ]
then
${SRCROOT}/tool/yololib "$TARGET_APP_PATH/$APP_BINARY" "Frameworks/HBHook.framework/HBHook"
else
echo "没有该文件"
fi

完整操作如下：

yololib.png

准备工作完成，运行工程：

insert.png

打印“插入成功”，说明动态库已成功插入到ipa中，用 MachOView 打开.app中WeChat通用二进制文件，查看新的布局如下：

MachO.png

在Load commands中已经有了动态库的加载指令，接下来就对原登录按钮的点击方法做替换监听。

四、分析实现按钮监听

替换原登录方法，需要我们知道对应的方法名称。怎么查找？如下：

view.png

  • 通过层级关系立刻定位到了登录方法信息，Action onFirstViewLogin，所属类WCAccountLoginControlLogic

瞬间感觉微信很友好?！！！

那么开始编写方法替换代码：

#import "Insert.h"
#import <objc/message.h>
@implementation Insert
+ (void)load {
    NSLog(@"插入成功");
    Method old_method = class_getInstanceMethod(objc_getClass("WCAccountLoginControlLogic"), sel_registerName("onFirstViewLogin"));
    Method new_method = class_getInstanceMethod(self, sel_registerName("my_onFirstViewLogin"));
    method_exchangeImplementations(old_method, new_method);
}
-(void)my_onFirstViewLogin {
    NSLog(@"我来了");
    [self my_onFirstViewLogin];
}
@end
  • 交换了交换了原始方法的imp指向
  • 通过runtime函数来获取类及类方法
  • my_onFirstViewLogin被WCAccountLoginControlLogic的实例调用，因此self指的是WCAccountLoginControlLogic的实例

运行工程，点击登录按钮，如下：

login.png

第一行打印了“我来了”，说明，我们监听到了按钮的点击事件，但后面出现崩溃，此处很好理解，在原控制器中并没有找到对应的选择器。回忆之前的方法替换，我们是在对应类的分类中去替换，方法在编译时会加入到该类的方法列表中，而此处并不是原类的分类。

那么如何解决呢，这里有三种方法：

1、给原类添加方法
+ (void)load {
    NSLog(@"插入成功");
    Method old_method = class_getInstanceMethod(objc_getClass("WCAccountLoginControlLogic"), sel_registerName("onFirstViewLogin"));
    BOOL result = class_addMethod(objc_getClass("WCAccountLoginControlLogic"),
                    sel_registerName("new_method"), (IMP)new_method, "v@:");//添加新的方法
    NSLog(@"%@",result?@"添加成功":@"添加失败");
    method_exchangeImplementations(old_method, class_getInstanceMethod(objc_getClass("WCAccountLoginControlLogic"),sel_registerName("new_method")));
}
void new_method(id self, SEL _cmd){
    NSLog(@"我来了");
    [self performSelector:sel_registerName("new_method")];
}
  1. 添加方法并替换方法的imp；
  2. 在imp实现中通过performSelector来调用原有类添加的方法，从而找到原方法对应的实现。
class_addMethod(Class _Nullable cls, SEL _Nonnull name, IMP _Nonnull imp, 
                const char * _Nullable types)
  • cls：为哪个类添加方法
  • name：设置方法名称
  • imp：设置方法对应的imp，此处imp设置在当前类，以便调用
  • types：定义方法类型
2、设置原方法实现
+ (void)load {
    NSLog(@"插入成功");
    old_imp = class_getMethodImplementation(objc_getClass("WCAccountLoginControlLogic"), sel_registerName("onFirstViewLogin"));
    method_setImplementation(class_getInstanceMethod(objc_getClass("WCAccountLoginControlLogic"), sel_registerName("onFirstViewLogin")), (IMP)new_method);
}
IMP (*old_imp)(id self,SEL _cmd);
void new_method(id self, SEL _cmd){
    NSLog(@"我来了");
     old_imp(self,_cmd);
}
  1. class_getMethodImplementation：获取原有方法对应的imp；
  2. method_setImplementation：给原有类的方法设置新的imp指向；
  3. old_imp(self,_cmd)：执行保留原类方法实现继续执行原有方法内部指令。
3、 替换原方法实现
+ (void)load {
    NSLog(@"插入成功");
    old_imp = class_getMethodImplementation(objc_getClass("WCAccountLoginControlLogic"), sel_registerName("onFirstViewLogin"));
    old_imp = class_getMethodImplementation(objc_getClass("WCAccountLoginControlLogic"), sel_registerName("onFirstViewLogin"));
    class_replaceMethod(objc_getClass("WCAccountLoginControlLogic"), sel_registerName("onFirstViewLogin"), (IMP)new_method, "v@:");
}
IMP (*old_imp)(id self,SEL _cmd);
void new_method(id self, SEL _cmd){
    NSLog(@"我来了");
     old_imp(self,_cmd);
}
  1. 保留原有方法的实现；
  2. 替换原方法的实现，当触发按钮，将调用该函数；
  3. 在新函数中，执行原方法实现。

以上方法都能完美解决找不到实例方法的问题，点击登录，后打印并跳转到登录页面。

注意：方法与实现是两个不同的概念，方法是SEL（选择器），实现是IMP具体的函数。方法（SEL）指向实现（IMP）。

五、实战修改微信步数

修改微信步数同上，通过替换方法，在微信上传步数时，监听方法，替换上传数据。

首先介绍一个工具Class-dump:

该方法利用runtime特性能够提取MachO文件中的信息，并产生原应用对应的所有头文件信息，通过这些信息，能够快速定位目标类，目标方法。下载地址：http://stevenygard.com/projects/class-dump

先使用该工具获取.ipa中对应的头文件：

class-dump -H WeChat -o apph

目标WeChat为.app包中的通用二进制文件，导出头文件到apph文件夹中。如下：

login.png

以上就是WX的所有头文件信息，有属性，有方法，看到上面标注的就是前面通过页面找到的类即方法。
这里可以运行查看微信运动页面，找到相关的方法或属性，进行修改。这里就不运行查看了（害怕封号?）。直接定位到修改步数的类：

modify.png

找到类即属性名称，这里就直接替换原有的方法，直接返回相应的步数就行。代码如下：

+ (void)load {
    NSLog(@"插入成功");
    [self modifyWxStep];
}
+(void)modifyWxStep{
    //修改微信步数
    Class class = objc_getClass("WCDeviceStepObject");
    SEL select = sel_registerName("m7StepCount");
    
    Method method = class_getInstanceMethod(class, select);
    const char *typeEncoding = method_getTypeEncoding(method);
    NSLog(@"typeEncoding:%s",typeEncoding);
    class_replaceMethod(class, select, (IMP)my_m7StepCount, typeEncoding);
}
int my_m7StepCount(id self, SEL _cmd){
    return 56382;
}

安装后，停止xcode运行，再手机上启动应用，登录账号并来到微信运动公众账号，查看自己的步数，如果步数没有修改，杀死应用重新进入即可。如下：

step.png

demo：https://github.com/yahibo/InsertCode

yahibo
关注
专栏目录
DLL动态库注入器.rar
03-01
1.首先第一点就是可以注入到64位进程内，并且注入方式多种多样，我想这一点就足以让你心动 2.总所周知，在WINdows系统内，不同位数不可以互相注入，也就是说32位的DLL只能注入到32位进程，64同理 3.为了方便测试我使用c语言编译了32位 的DLL 和64位的打包到了里面，方便 大家测试 4.您可以在进程列表内右键来停止进程或查看进程内模块，在模块列表内可以隐藏模块！！！ 5.您可以点击Set up在里面找到切换到中文 我使用英文纯粹是为了看着舒服 6.消息钩子注入需要特殊的导出函数，我也准备了两个不同位数的DLL 打包在内 方便测试（炒鸡贴心） 7.如果您在进程列表内尝试停止系统进程将会弹出警告，如果你强行停止将会造成系统蓝屏！
iOS动态库注入
06-19
本课程主要针对iOS动态库注入技术做了详细讲解和实战演示，分为技术篇和运维篇，最终目标是将动态库注入到目标ipa包中，并且执行动态库中的代码，实现动态库与ipa交互。技术篇?-?主要从基础知识、涉及工具，以及一个...
WIN动态库注入(远线程注入)
BCMY0110的博客
12-20 618
所谓动态库注入是指，将自己编写的动态库，通过自己的程序来注入到别的进程中去，然后运行。 原理: 在目标进程，开辟一段内存，然后写入要注入的动态库.dll 。然后让目标运行加载动态库函数，将该动态库载入到到进程中，然后运行指定函数，通常在进程创建一个线程，然后运行指定的代码。 涉及到的函数如下如果需要更详细的解释，请前往MSDN查阅： /* \ brief 检索顶级窗口的句柄，该窗口的类名和窗口名...
深入探索Linux动态链接库注入（C/C++代码实现）
最新发布
chen1415886044的博客
09-08 1200
Inject是一款功能强大的Linux DSO注入工具，它通过ptrace系统调用实现了对运行中进程的代码注入。该工具在系统调试、软件测试和安全研究等领域有着广泛的应用。
将动态连接库注入到其他进程中的一种新方法
RobinHao的专栏
09-16 4932
我们知道将动态连接库注入到其他进程中有很多种方法。最常见的方法是使用钩子函数(Hook)，但是这种方法主要有两个缺点：第一如果某个进程没有加载User32.dll，那么Hook DLL将永远也不会被加载。第二Hook DLL加载的时机问题，只有在进程发出User32调用的时候, Hook DLL才有可能被加载。也就是说假设进程正在进行复杂的数值计算而没有时间进行消息调用的时候，Hook DLL是不
动态库远程注入技术
miseason的博客
03-25 248
最近在研究动态库远程注入技术，将相关的源码分享下 1,。动态库一般只能将32位动态库注入32位程序中，将64位动态库注入相应的64位程序中 //提升权限 int enableDebugPriv() { HANDLE hToken; LUID sedebugnameValue; TOKEN_PRIVILEGES tkp; if (!OpenProcessToken(GetCurrentProcess...
windows下DLL动态库注入和拦截
06-08
本篇文章将深入探讨“Windows下DLL动态库注入和拦截”这一主题。 首先，我们要理解DLL注入的基本概念。DLL注入是指一个进程将自己的DLL加载到另一个进程中，使得被注入的DLL中的代码可以在目标进程中执行。这通常...
苹果iOS ipa安装包动态库注入工具
04-20
苹果iOS ipa安装包动态库注入工具，十分方便，注入dylib动态库
ZXHookDetection:【iOS应用安全、安全攻防】hook及越狱的基本防护与检测(动态库注入检测、hook检测与防护、越狱检测、签名校验、IDA反编译分析加密协议Demo)；【数据传输安全】浅谈http、https与数据加密
05-27
ZXHookDetection 越狱检测 1.使用NSFileManager通过检测一些越狱后的关键文件/路径是否可以访问来判断是否越狱 常见的文件/路径有 static char *JailbrokenPathArr[] = {"/Applications/Cydia.app","/usr/sbin/sshd...
Win32编程-动态库注入
qq_36318563的博客
07-18 944
动态库注入原理和注入方式介绍
yololib 代码注入
12-04
代码注入 Framework yololib工具 开发模块 代码安全技术
C++ --- Dll文件的生成与调用（二）之动态库注入技术
M2嵌入式
08-07 511
这里的操作是在C++ --- Dll文件的生成与调用（一）的基础上进行修改和拓展的 1、添加动态库入口函数的方式生成Dll文件，这个需要Windows的支持 DemoDll.h文件 #pragma once #include<Windows.h> // 引用Windows库 #ifdef DemoDll #define DemoDll_API __declspec(dllexport) // 导出 #else #define DemoDll_API __declspec(d
SResigner的实现：一款集动态库注入与删除、ipa重签名、ipa元数据修改为一体的MacOS App
永不止步
12-18 4244
1而乏味
库，静态库，动态库，导入库
Ace+
01-18 477
库是写好的、现有的、成熟的、可以复用的代码。现实中每个程序都要依赖很多基础的底层库，不可能每个人的代码都从零开始，因此库的存在意义非同寻常。 本质上来说库是一种可执行代码的二进制形式，可以被操作系统载入内存执行。库有两种：静态库（.a、.lib）和动态库（.so、.dll）。 静态库可以简单看成是一组目标文件（.o/.obj文件）的集合，即很多目标文件经过压缩打包后形成的一个文件。所以
dll 动态库的导入导出定义
technologyleader的专栏
12-15 576
dll工程头文件加入声明： #ifdef MY_API    //如果定义了 #define  MY_API extern "C" _declspec(dllexport) #else                        //如果没有定义了 #define  MY_API extern "C" _declspec(dllimport) #endif dll工程中在预处理器中定义M...
iOS逆向工具-yololib注入framework
wangletiancsdn的博客
02-21 2359
一.yololib是干啥的? yololib可以给mach-o文件注入framework 可以使用machOView软件查看注入的framework 二.使用 从github下载项目,编译得到yololib可执行文件. 将yololib复制到/usr/local/bin. 将ipa解压得到Payload,将从xcode生成的lyk.framework(一定要用真机编译)复制到W...
@selector() 与SEL 到底是啥
c553110519的专栏
08-30 307
@selector()SEL原理
linux下的动态库注入
Fireplusplus的博客
10-14 1954
前言 最近在维护公司的一个服务X，服务X因为协议设计的不够安全，存在被攻击的风险，所以修改协议提升安全性就显得势在必行了。然鹅，该项目涉及到多个版本，将改动合入到各个版本引起的开发及测试工作量颇大，最终讨论后决定通过动态库注入的方式进行修改。 何为动态库注入 动态库注入是指在程序启动或运行的时候，通过某种手段加载另一套接口库，替换原有依赖库中的函数。这样可以达到改变程序功能而又不对原有代码进行修改的目的。 如何做 linux下有一个环境变量叫LD_PRELOAD，动态链接器在载入一个程序所需的所有
delphi exe程序如何 防止动态库注入
01-31
Delphi编写的exe程序可以采取一些措施来防止动态库注入。首先，可以使用数字签名来确保程序的完整性。数字签名可以确保程序的可信性，防止被篡改或替换。其次，可以在程序中加入反调试和反注入的代码，通过检测系统中是否存在调试器或动态库注入工具来保护程序安全。此外，可以加密和混淆程序的关键代码和数据，增加攻击者对程序的理解和修改难度。还可以通过检查程序运行的环境和系统参数，检测是否存在异常情况，以及监控程序的运行状态，及时发现并阻止动态库注入行为。另外，及时对程序进行更新和修复，修复可能的漏洞和安全问题，也是保护程序安全的重要手段。综合以上措施，可以有效防止动态库注入对Delphi编写的exe程序的影响，提升程序的安全性。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值