iOS逆向与安全

但是 mac os 10.11以后没法获取/usr/bin 的权限，开了Rootless机制的Mac无法获取/usr/bin的权限

我们可以换个思路

第一步，打开Terminal，输入mkdir ~/bin，在当前用户根目录下创建一个bin目录；

命令: mkdir ~/bin

第二步，把class-dump给拷贝到这个目录里，并赋予其可执行权限;

命令一: mv /.../class-dump ~/bin    (/.../class-dump是指的class-dump的完整路径) 

命令二: chmod +x ~/bin/class-dump

第三步，打开~/.bash_profile文件，配置环境变量

命令一: vi ~/.bash_profile

命令二: 按 i 键进入编辑模式，写入下面一行代码， export PATH=$HOME/bin/:$PATH    按ESC然后输入冒号(shift+;),然后输入wq,退出即可。

第四步，在Terminal中执行source命令

命令:source ~/.bash_profile

完成以上步骤，在terminal中执行class-dump实验一下，应该就可以了。

class-dump -H XXX.app -o 接受地址

原码： GlobalTimelineViewController.h
@interface GlobalTimelineViewController : UITableViewController

@end

解析出来的 GlobalTimelineViewController.h

#import "UITableViewController.h"

@class NSArray;

@interface GlobalTimelineViewController : UITableViewController
{
    NSArray *_posts;
}

@property(retain, nonatomic) NSArray *posts; // @synthesize posts=_posts;
- (void).cxx_destruct;
- (void)tableView:(id)arg1 didSelectRowAtIndexPath:(id)arg2;
- (double)tableView:(id)arg1 heightForRowAtIndexPath:(id)arg2;
- (id)tableView:(id)arg1 cellForRowAtIndexPath:(id)arg2;
- (long long)tableView:(id)arg1 numberOfRowsInSection:(long long)arg2;
- (void)viewDidLoad;
- (void)reload:(id)arg1;

@end

基本可以看到类名、方法名、属性、方法实现的伪代码

我们用终端检查一遍：
otool -l Downloads/reversePack/SwiftDemo | grep cryptid

//结果： 1表示加密，0表示未加密
cryptid 0

可以看到部分类名、方法名、属性等，方法实现解析的不完整

我们用终端检查一遍：
otool -l Downloads/reversePack/SwiftDemo | grep cryptid

//结果： 1表示加密，0表示未加密
cryptid 0

基本没有什么有用的信息，AppStore的ipa是加过壳的

我们用终端检查一遍：
otool -l Downloads/reversePack/WeChat | grep cryptid

//结果： 1表示加密，0表示未加密
cryptid 1
cryptid 1

越狱: 百度一下 很简单

务必在Cydia中安装 cycript、adv-cmds 、pstree

不同的越狱设备有不同的架构
下载好了后 cd 到目录下，执行下面命令

make

`xcrun --sdk iphoneos --find gcc` -Os  -Wimplicit -isysroot `xcrun --sdk iphoneos --show-sdk-path` -F`xcrun --sdk iphoneos --show-sdk-path`/System/Library/Frameworks -F`xcrun --sdk iphoneos --show-sdk-path`/System/Library/PrivateFrameworks -arch armv7 -arch armv7s -arch arm64 -dynamiclib -o dumpdecrypted.dylib dumpdecrypted.o

`xcrun --sdk iphoneos --find gcc` -Os  -Wimplicit -isysroot `xcrun --sdk iphoneos --show-sdk-path` -F`xcrun --sdk iphoneos --show-sdk-path`/System/Library/Frameworks -F`xcrun --sdk iphoneos --show-sdk-path`/System/Library/PrivateFrameworks -arch armv7 -arch armv7s -arch arm64 -c -o dumpdecrypted.o dumpdecrypted.c

dyld: could not load inserted library ‘dumpdecrypted.dylib’ because no suitable image found. Did find: dumpdecrypted.dylib: required code signature missing for ‘dumpdecrypted.dylib’

解决办法：

//dumpdecrypted 需要签名
## 列出可签名证书
security find-identity -v -p codesigning
## 为dumpecrypted.dylib签名
codesign --force --verify --verbose --sign "iPhone Developer: xxx xxxx (xxxxxxxxxx)" dumpdecrypted.dylib

1、mac端 brew 安装 usbmuxd

brew install usbmuxd

2、将手机端的22号端口映射到本地的2222号端口，用usbmuxd自带iproxy

sudo iproxy 2222 22

3、连接

1、数据线连接方式
ssh root@localhost -p 2222

2、wifi连接方式 (iphone上的ip地址)
ssh root@192.168.xx.xx -p 2222

ip地址记得换成你自己的ip 
输入密码 默认alpine 修改密码 请输入passwd

10.3.3越狱后 ssh 连接不上的问题，

1.cydia卸载OpenSSL 和 Openssh

2.添加源 : http://cydia.ichitaso.com/test

3.在cydia搜索页面搜索Dropbear并安装

4.重新安装OpenSSL (Openssh就不用了,装不装都无所谓)

5.重启设备

6.最后电脑上执行ssh root@ip -p 2222 就可以了连上了 (默认密码alpine)

ps -e

如下就是正在运行的WeChat
PID TTY           TIME CMD
680 ??         0:01.76 /var/containers/Bundle/Application/0B9C2D83-D6BA-4D24-B624-5AEB733DAE9D/WeChat.app/WeChat

确保手机已经下载了cycript工具 使用命令cycript 进程id （进程id就是上面获取到的PID）如:

cycript -p 680 

可以使用control+d 或者 输入exit(0)命令 退出cycript

yang:~ root# cycript -p 680
cy# NSHomeDirectory()
@"/var/mobile/Containers/Data/Application/6AFE1710-57C2-42CC-84FB-73B9A96C605A"
cy# [NSHomeDirectory() stringByAppendingString:@"/Documents"]
@"/var/mobile/Containers/Data/Application/6AFE1710-57C2-42CC-84FB-73B9A96C605A/Documents"

新打开一个终端窗口 把dumpdecrypted.dylib 拷贝进去沙盒路径路径 Documents或者tmp目录都可以，如果Documents砸壳会有问题，可以拷贝到tmp目录

1、数据线连接
scp -p 2222  Mac中dumpdecrypted.dylib的路径  root@localhost:沙盒路径路径

2、wifi连接
scp  Mac中dumpdecrypted.dylib的路径  root@越狱机ip地址:沙盒路径路径 

如下：

scp -p 2222 /Users/yang/Downloads/reversePack/dumpdecrypted-master/dumpdecrypted.dylib root@192.168.0.146:/var/mobile/Containers/Data/Application/6AFE1710-57C2-42CC-84FB-73B9A96C605A/Documents

输入默认密码 alpine

cd到该沙盒路径下(也就是我们前面获取到的微信的沙盒目录) 指定一个环境变量，这个环境变量会去加载指定目录下的文件 ,这个文件地址使用我 ps -e 获取出来的wechat地址。

格式如下：

DYLD_INSERT_LIBRARIES=dumpdecrypted.dylib 可执行文件的路径（即之前获取到的Bundle路径）

运行后 就会开始解密 解密文件会放到同级目录 可以ls查看是否有.decrypted这个解密文件 有的话 则为解密成功 

如下：

DYLD_INSERT_LIBRARIES=dumpdecrypted.dylib /var/containers/Bundle/Application/0B9C2D83-D6BA-4D24-B624-5AEB733DAE9D/WeChat.app/WeChat

WeChat.decrypted 文件会生成在当前目录

新开终端 将越狱机内的解密文件拷贝到Mac上 

1、usb连接
scp -p 2222  root@localhost:沙盒中解密文件路径    Mac指定路径 

2、wifi连接
scp   root@越狱机ip地址:沙盒中解密文件路径  Mac指定路径 

class-dump --arch armv7 WeChat.decrypted -H -o /Users/yang/Downloads/reversePack/dumpdecrypted-master/wechat

class-dump会还原出所有的.h文件 如下是部分文件

摘取内容如下:

//
//     Generated by class-dump 3.5 (64 bit).
//
//     class-dump is Copyright (C) 1997-1998, 2000-2001, 2004-2013 by Steve Nygard.
//

#import "NSObject.h"
#import "UIAlertViewDelegate.h"

@class NSString;
@interface WXGClearCache : NSObject <UIAlertViewDelegate>
{
    unsigned long _cacheMask;
}

+ (id)sharedInstance;
@property(nonatomic) unsigned long cacheMask; // @synthesize cacheMask=_cacheMask;
- (void)alertView:(id)arg1 clickedButtonAtIndex:(int)arg2;
- (void)parseFileInformationsWithXml:(id)arg1;

// Remaining properties
@property(readonly, copy) NSString *debugDescription;
@property(readonly, copy) NSString *description;
@property(readonly) unsigned int hash;
@property(readonly) Class superclass;

@end

 [self haveBundleIdentifier];//获取BundleIdentifier
    [self haveappidentifierprefix];//获取appidentifierprefix
   [self haveBundleExecutable];//获取项目名称
- (void)haveBundleExecutable{


- (void)haveappidentifierprefix{
    NSString * prefix = [self bundleSeedID];
    NSLog(@"prefix-->%@",prefix);
    
}

- (NSString *)bundleSeedID {
    NSDictionary *query = [NSDictionary dictionaryWithObjectsAndKeys:
                           kSecClassGenericPassword, kSecClass,
                           @"bundleSeedID", kSecAttrAccount,
                           @"", kSecAttrService,
                           (id)kCFBooleanTrue, kSecReturnAttributes,
                           nil];
    CFDictionaryRef result = nil;
    OSStatus status = SecItemCopyMatching((CFDictionaryRef)query, (CFTypeRef *)&result);
    if (status == errSecItemNotFound)
        status = SecItemAdd((CFDictionaryRef)query, (CFTypeRef *)&result);
    if (status != errSecSuccess)
        return nil;
    NSString *accessGroup = [(__bridge NSDictionary *)result objectForKey:kSecAttrAccessGroup];
    NSArray *components = [accessGroup componentsSeparatedByString:@"."];
    NSString *bundleSeedID = [[components objectEnumerator] nextObject];
    CFRelease(result);
    return bundleSeedID;
}


- (void)haveBundleIdentifier{
    NSString * identifier = [[NSBundle mainBundle]bundleIdentifier];
    NSLog(@"identifier--->%@",identifier);
}

- (void)haveBundleExecutable{

    NSString *executableFile = [[[NSBundle mainBundle] infoDictionary] objectForKey:(NSString *)kCFBundleExecutableKey];    //获取项目名称
    NSLog(@"executableFile-->%@",executableFile);
    
    NSString *version = [[[NSBundle mainBundle] infoDictionary] objectForKey:(NSString *)kCFBundleVersionKey];      //获取项目版本号
    
    
    
    NSDictionary *infoDictionary = [[NSBundle mainBundle] infoDictionary];
    NSLog(@"infoDictionary-->%@",infoDictionary);
    // app名称
    NSString *app_Name = [infoDictionary objectForKey:@"CFBundleDisplayName"];
    // app版本
    NSString *app_Version = [infoDictionary objectForKey:@"CFBundleShortVersionString"];
    // app build版本
    NSString *app_build = [infoDictionary objectForKey:@"CFBundleVersion"];
}