iOS逆向学习笔记之–砸壳和导出应用头文件

砸壳工具的使用

• dumpdecrypted

1、下载源代码git clone https://github.com/stefanesser/dumpdecrypted.git
2、进入dumpdecrypted文件夹目录。使用make命令生成dumpdecrypted.dylib文件
3、ssh登录越狱手机，关闭所有应用，启动需要砸壳的目标应用,利用命令 ps -e 查看所有进程，包含“/var/mobile/Containers/”的就是目标APP的进程(从App Store中下载的APP都放在该目录下)
4、利用cycript注入该APP进程，找出该APP的Documents目录全路径

cycript -p targetAppName
var dir = NSHomeDirectory()
@"/var/mobile/Containers/Data/Application/CF8EC7A2-E6E8-4680-88AD-BECC3C351ADC"

5、将之前生成的dumpdecrypted.dylib拷贝到Documents目录下

scp dumpdecrypted.dylib [email protected]:/var/mobile/Containers/Data/Application/CF8EC7A2-E6E8-4680-88AD-BECC3C351ADC/Documents/

6、利用dumpdecrypted.dylib将目标APP砸壳

DYLD_INSERT_LIBRARIES=dumpdecrypted.dylib /var/mobile/Containers/Bundle/Application/7BF44939-6045-4158-9C69-841AD0A8DC02/caipudaquan.app/caipudaquan

砸壳成功后在该目录下生成 caipudaquan.decrypted 文件。然后利用scp命令将该文件拷贝到电脑上面备用
7、在电脑上面查看砸壳文件的加密标识

otool -l caipudaquan.decrypted | grep crypt
结果如下：
caipudaquan.decrypted (architecture armv7):
     cryptoff 16384
    cryptsize 4128768
      cryptid 0
caipudaquan.decrypted (architecture arm64):
     cryptoff 16384
    cryptsize 4456448
      cryptid 1
// 我的越狱手机是4S，所以解密的是armv7架构的

• Clutch的使用

1、下载Clutch

https://github.com/KJCracks/Clutch/releases/

2、将下载的Clutch拷贝到越狱手机

scp -P 2222 /Users/mac/Downloads/Clutch root@localhost:/usr/bin/

3、赋予执行权限

iPhone:/usr/bin root# chmod +x Clutch

4、使用

1、列出安装的Store App
Clutch -i
2、输入App序号或者Bundle Id砸壳
iPhone:~ root# Clutch -i
Installed apps:
1:   爱奇艺-延禧攻略独播 <com.qiyi.iphone>
2:   哈罗单车-全国免押金 <com.jingyao.EasyBike>
3:   微信 <com.tencent.xin>
4:   钉钉 <com.laiwang.DingTalk>
5:   千帆直播 - 答题猜成语瓜分百万奖金 <cn.com.qf.show>
6:   抖音短视频 <com.ss.iphone.ugc.Aweme>
iPhone:~ root# Clutch -d 2  // 或者 Clutch -d com.jingyao.EasyBike
Zipping EasyBike.app
ASLR slide: 0x79000
Dumping <EasyBike> (armv7)
Patched cryptid (32bit segment)
Writing new checksum
DONE: /private/var/mobile/Documents/Dumped/com.jingyao.EasyBike-iOS8.0-(Clutch-2.0.4).ipa

• frida-ios-dump的使用

1、Mac端下载frida-ios-dump 下载地址
2、安装pip

sudo easy_install pip

3、安装依赖的Python模块

sudo pip install -r requirements.txt --upgrade
sudo pip install six --upgrade --ignore-installed six

4、越狱手机端安装frida

a、添加Cydia源 https://build.frida.re
b、然后安装Frida

5、解压frida-ios-dump代码，配置dump.py 中的信息

User = 'root'
Password = '123456'
Host = 'localhost'
Port = 2222

安装完成之后开始脱壳使用：

./dump.py -l   查看安装的应用列表
./dump.py bundleID  开始脱壳
脱壳完成之后会在当前文件目录下生成一个ipa文件

class-dump

• otool工具简介
  otool(object file display tool):Xcode自带的目标文件展示工具。可以用来发现应用中使用到了哪些系统库，调用了哪些方法，使用了库中那些对象及属性。

otool -help

Usage: /Applications/Xcode9.4.app/Contents/Developer/Toolchains/XcodeDefault.xctoolchain/usr/bin/otool [-arch arch_type] [-fahlLDtdorSTMRIHGvVcXmqQjCP] [-mcpu=arg] [--version] <object file> ...
	-f print the fat headers
	-a print the archive header
	-h print the mach header
	-l print the load commands
	-L print shared libraries used
	-D print shared library id name
	-t print the text section (disassemble with -v)
	-p <routine name>  start dissassemble from routine name
	-s <segname> <sectname> print contents of section
	-d print the data section
	-o print the Objective-C segment
	-r print the relocation entries
	-S print the table of contents of a library (obsolete)
	-T print the table of contents of a dynamic shared library (obsolete)
	-M print the module table of a dynamic shared library (obsolete)
	-R print the reference table of a dynamic shared library (obsolete)
	-I print the indirect symbol table
	-H print the two-level hints table (obsolete)
	-G print the data in code table
	-v print verbosely (symbolically) when possible
	-V print disassembled operands symbolically
	-c print argument strings of a core file
	-X print no leading addresses or headers
	-m don't use archive(member) syntax
	-B force Thumb disassembly (ARM objects only)
	-q use llvm's disassembler (the default)
	-Q use otool(1)'s disassembler
	-mcpu=arg use `arg' as the cpu for disassembly
	-j print opcode bytes
	-P print the info plist section as strings
	-C print linker optimization hints
	--version print the version of /Applications/Xcode9.4.app/Contents/Developer/Toolchains/XcodeDefault.xctoolchain/usr/bin/otool
	

例： otool -L MobileNotes // 查看使用的依赖库

• 安装class-dump
  下载地址http://stevenygard.com/projects/class-dump/

配置到用户环境变量中，方便使用
1、将下载的dmg文件中的class-dump命令拷贝到用户目录
如终端创建: $mkdir ~/bin
2.打开~/.bash_profile文件,配置环境变量 (双击打开就可以) 把export PATH=$HOME/bin/放到第一行中
3.在Terminal中执行source命令source ~/.bash_profile
4.在命令行中输入class-dump验证是否配置成功

• 利用class-dump导出目标APP头文件
  方法一:针对已经砸壳后的ipa文件
  1、将下载的砸壳后的ipa改后缀为名zip,解压,进入app目录
  2、执行命令查看目标APP的bundleID
  3、利用class-dump命令导出.h文件

cd demo.app
plutil -p Info.plist | grep CFBundleExecutable
class-dump -S -s -H bundleID -o /Users/wangjie/Desktop/targetipa/Headers

方法二:针对后缀名为decrypted的砸壳后的文件
1、确定砸壳手机的架构(这里的是使用的4S,所以是armv7)
2、指定架构导出.h文件，如果不指定相应的架构会导出失败
3、指定路径下(这里是Headers目录)出现很多.h文件表示成功，只有CDStructures.h表示失败

查看目标文件支持的架构
lipo -info /Users/wangjie/Desktop/caipudaquan.decrypted 
Architectures in the fat file: /Users/wangjie/Desktop/caipudaquan.decrypted are: armv7 arm64 

指定架构导出.h文件（4S）
class-dump -S -s -H --arch armv7 /Users/wangjie/Desktop/caipudaquan.decrypted -o /Users/wangjie/Desktop/caipudaquan/Headers