iPhone查詢序列號生成函式

leonlei發表於2017-12-14

前言

在iOS7之前我們可以通過- (NSString *)uniqueIdentifier這個方法獲取iPhone的唯一識別符號，也叫作UDID。不過自從iOS7蘋果就把這個方法給禁了，此時我們想要獲取iPhone的唯一識別符號就很困難。
不過蘋果提供一個叫做IDFA的識別符號，這個IDFA是廣告識別符號用來追蹤廣告投放的，不過使用者可以在設定中手動重置IDFA，可靠性很低，目前常見的兩種標記iPhone的方式為

openUDID
IDFA或UUID+keychain

這兩種模式都有個弊端，使用者重置手機或者刷機唯一識別符號會發生變化，不過對於大多數情況是夠用了。看來蘋果是把路給封死了，有沒有辦法拿到之前的UDID呢？我們注意到iPhone的設定通用關於裡面有手機的硬體資訊，其中有一個serialNumber，這個serialnumber就是我們查詢手機是否過保的依據，那麼它肯定是唯一的，所以下文是圍繞這個進行的探索。最終是可以拿到這個serialNumber的，不過由於蘋果的沙盒限制，所以只能在越獄機中拿到，如果想在非越獄機中拿到必須新增entitlements檔案來獲取許可權，可想而知這個應用是無法上架的。下文僅作為逆向工程的一種思路和探索

轉載請註明出處：來自LeonLei的部落格http://www.gaoshilei.com

正文

一、SSH連線手機（USB模式）

1.對映埠

LeonLei-MBP:~ gaoshilei$ /Users/gaoshilei/Desktop/reverse/USBSSH/tcprelay.py -t 22:6666
Forwarding local port 6666 to remote port 22
複製程式碼

2.連線手機，並且用grep命令快速篩選當前我們要除錯的應用Preferences，附加debugserver開始1234埠等待lldb除錯

LeonLei-MBP:~ gaoshilei$ ssh root@localhost -p 6666
iPhone-5S:~ root# ps -e | grep Pre
  270 ??         0:00.29 /System/Library/PrivateFrameworks/MobileSoftwareUpdate.framework/XPCServices/com.apple.MobileSoftwareUpdate.CleanupPreparePathService.xpc/com.apple.MobileSoftwareUpdate.CleanupPreparePathService
 1192 ??         0:14.26 /var/db/stash/_.fP74Fg/Applications/Preferences.app/Preferences
 1289 ttys000    0:00.01 grep Pre
iPhone-5S:~ root# debugserver *:1234 -a "Preferences"
debugserver-@(#)PROGRAM:debugserver  PROJECT:debugserver-340.3.51.1
 for arm64.
Attaching to process Preferences...
Listening to port 1234 for a connection from *...
複製程式碼

3.完成以上兩步接下來就可以進行lldb除錯了，首先要把遠端（手機）的1234埠對映到本地，跟前面提到的SSH埠對映一樣

LeonLei-MBP:~ gaoshilei$ /Users/gaoshilei/Desktop/reverse/USBSSH/tcprelay.py -t 1234:1234
Forwarding local port 1234 to remote port 1234
複製程式碼

二、通過LLDB、IDA尋找線索

lldb的除錯埠已經開啟，此時我們可以進入除錯

LeonLei-MBP:~ gaoshilei$ lldb
(lldb) process connect connect://localhost:1234
Process 1192 stopped  
* thread #1: tid = 0x523a6, 0x000000019a3c8a40 libsystem_kernel.dylib`mach_msg_trap + 8, queue = 'com.apple.main-thread', stop reason = signal SIGSTOP  
    frame #0: 0x000000019a3c8a40 libsystem_kernel.dylib`mach_msg_trap + 8
libsystem_kernel.dylib`mach_msg_trap:
->  0x19a3c8a40 <+8>: ret    
libsystem_kernel.dylib`mach_msg_overwrite_trap:
    0x19a3c8a44 <+0>: movn   x16, #0x1f
    0x19a3c8a48 <+4>: svc    #0x80
    0x19a3c8a4c <+8>: ret    
複製程式碼

此時我們已經成功進入Preferences的除錯階段，先c一下，讓程式繼續執行

(lldb) c
Process 1192 resuming
複製程式碼

這麼做的原因是我們待會要列印image的基地址偏移，有可能在我們列印的image list中沒有我們想要的image。此時我們已經找到到Preference.framework的基地址偏移，見下圖

(lldb) im li -o -f
[  0] 0x00000000000dc000 /var/db/stash/_.fP74Fg/Applications/Preferences.app/Preferences(0x00000001000dc000)
[  1] 0x0000000100100000 /Library/MobileSubstrate/MobileSubstrate.dylib(0x0000000100100000)
[  2] 0x0000000002e50000 /Users/gaoshilei/Library/Developer/Xcode/iOS DeviceSupport/9.1 (13B143)/Symbols/System/Library/PrivateFrameworks/BulletinBoard.framework/BulletinBoard
[  3] 0x0000000002e50000 /Users/gaoshilei/Library/Developer/Xcode/iOS DeviceSupport/9.1 (13B143)/Symbols/System/Library/Frameworks/CoreFoundation.framework/CoreFoundation
[  4] 0x0000000002e50000 /Users/gaoshilei/Library/Developer/Xcode/iOS DeviceSupport/9.1 (13B143)/Symbols/System/Library/Frameworks/IOKit.framework/Versions/A/IOKit
…
[ 44] 0x0000000002e50000 /Users/gaoshilei/Library/Developer/Xcode/iOS DeviceSupport/9.1 (13B143)/Symbols/System/Library/PrivateFrameworks/Preferences.framework/Preferences
…  
複製程式碼

我們要找的image的序號在這裡是44，它的基地址偏移為0x2e50000，我們把從iPhone中匯出的PrivateFrameworks中的Preferences.framework丟到IDA中進行分析，這個二進位制檔案比較小，很快就分析完成，在前面我們已經知道iPhone的唯一序列號serial number是通過PSListController生成的，並且我們知道這是一個cell，我們要去除錯[PSListController tableView:cellForRowAtIndexPath:]這個方法，從中找到cell值的來源，從而找到獲取序列號的方法。

__text:00000001908040C8 ; -[PSListController tableView:cellForRowAtIndexPath:]
__text:00000001908040C8 __PSListController_tableView_cellForRowAtIndexPath__
__text:00000001908040C8                                         ; DATA XREF: __objc_const:000000019C069B88o
__text:00000001908040C8
__text:00000001908040C8 var_80          = -0x80
__text:00000001908040C8 var_78          = -0x78
__text:00000001908040C8 var_70          = -0x70
__text:00000001908040C8 var_68          = -0x68
__text:00000001908040C8 var_60          = -0x60
__text:00000001908040C8 var_50          = -0x50
__text:00000001908040C8 var_40          = -0x40
__text:00000001908040C8 var_30          = -0x30
__text:00000001908040C8 var_20          = -0x20
__text:00000001908040C8 var_10          = -0x10
__text:00000001908040C8
__text:00000001908040C8                 STP             X28, X27, [SP,#var_60]!
__text:00000001908040CC                 STP             X26, X25, [SP,#0x60+var_50]
__text:00000001908040D0                 STP             X24, X23, [SP,#0x60+var_40]
__text:00000001908040D4                 STP             X22, X21, [SP,#0x60+var_30]
__text:00000001908040D8                 STP             X20, X19, [SP,#0x60+var_20]
__text:00000001908040DC                 STP             X29, X30, [SP,#0x60+var_10]
__text:00000001908040E0                 ADD             X29, SP, #0x60+var_10
__text:00000001908040E4                 SUB             SP, SP, #0x20
__text:00000001908040E8                 MOV             X21, X3
__text:00000001908040EC                 MOV             X20, X0
__text:00000001908040F0                 MOV             X0, X2
__text:00000001908040F4                 BL              0x96C400A0
__text:00000001908040F8                 MOV             X26, X0
__text:00000001908040FC                 ADRP            X8, #off_19DACC568@PAGE
__text:0000000190804100                 LDR             X1, [X8,#off_19DACC568@PAGEOFF]
__text:0000000190804104                 MOV             X0, X20
__text:0000000190804108                 MOV             X2, X21
__text:000000019080410C                 BL              0x96C39BC0
__text:0000000190804110                 MOV             X2, X0
__text:0000000190804114                 ADRP            X8, #_OBJC_IVAR_$_PSListController._specifiers@PAGE ; NSArray *_specifiers;
__text:0000000190804118                 LDRSW           X27, [X8,#_OBJC_IVAR_$_PSListController._specifiers@PAGEOFF] ; NSArray *_specifiers;
__text:000000019080411C                 LDR             X0, [X20,X27]
__text:0000000190804120                 ADRP            X8, #off_19DACC558@PAGE
……
複製程式碼

我們在Preference.framework中基地址為0x190804114的位置打個斷點，具體的做法是：

(lldb) br s -a 0x190804114+0x2e50000
Breakpoint 1: where = Preferences`-[PSListController tableView:cellForRowAtIndexPath:] + 76, address = 0x0000000193654114
Process 1192 stopped
* thread #1: tid = 0x523a6, 0x0000000193654114 Preferences`-[PSListController tableView:cellForRowAtIndexPath:] + 76, queue = 'com.apple.main-thread', stop reason = breakpoint 1.1
    frame #0: 0x0000000193654114 Preferences`-[PSListController tableView:cellForRowAtIndexPath:] + 76
Preferences`-[PSListController tableView:cellForRowAtIndexPath:]:
->  0x193654114 <+76>: adrp   x8, 53965
    0x193654118 <+80>: ldrsw  x27, [x8, #516]
    0x19365411c <+84>: ldr    x0, [x20, x27]
    0x193654120 <+88>: adrp   x8, 53960
複製程式碼

這裡斷點這樣打是因為系統載入可執行檔案和各種framework的時候會有一個地址偏移，我們在打斷點的時候要把這個偏移量加上，這樣我們打的斷點才是準確的。可以看到我們已經成功打了一個斷點，斷點的address = 0x193654114。此時我們列印變數x0和x27的值

(lldb) po $x0
13
(lldb) po $x27
1104
複製程式碼

我們執行ni讓程式繼續（這裡的ni命令相當於Xcode的那個下箭頭命令，也就是下一行）

(lldb) ni
Process 1192 stopped
* thread #1: tid = 0x523a6, 0x0000000193654118 Preferences`-[PSListController tableView:cellForRowAtIndexPath:] + 80, queue = 'com.apple.main-thread', stop reason = instruction step over
    frame #0: 0x0000000193654118 Preferences`-[PSListController tableView:cellForRowAtIndexPath:] + 80
Preferences`-[PSListController tableView:cellForRowAtIndexPath:]:
->  0x193654118 <+80>: ldrsw  x27, [x8, #516]
    0x19365411c <+84>: ldr    x0, [x20, x27]
    0x193654120 <+88>: adrp   x8, 53960
    0x193654124 <+92>: ldr    x22, [x8, #1368]
(lldb) ni
Process 1192 stopped
* thread #1: tid = 0x523a6, 0x000000019365411c Preferences`-[PSListController tableView:cellForRowAtIndexPath:] + 84, queue = 'com.apple.main-thread', stop reason = instruction step over
    frame #0: 0x000000019365411c Preferences`-[PSListController tableView:cellForRowAtIndexPath:] + 84
Preferences`-[PSListController tableView:cellForRowAtIndexPath:]:
->  0x19365411c <+84>: ldr    x0, [x20, x27]
    0x193654120 <+88>: adrp   x8, 53960
    0x193654124 <+92>: ldr    x22, [x8, #1368]
    0x193654128 <+96>: mov    x1, x22
(lldb) po $x27
848

(lldb) po $x0
13
複製程式碼

我們ni的兩次，程式已經走到0x19080411C的位置，然後我們繼續列印變數x0和x27的值

(lldb) po $x0
13
(lldb) po $x27
1104
複製程式碼

列印出來的x0和x27都是隨機數，還是沒有什麼收穫，我們繼續

(lldb) ni
Process 1192 stopped
* thread #1: tid = 0x523a6, 0x0000000193654120 Preferences`-[PSListController tableView:cellForRowAtIndexPath:] + 88, queue = 'com.apple.main-thread', stop reason = instruction step over
    frame #0: 0x0000000193654120 Preferences`-[PSListController tableView:cellForRowAtIndexPath:] + 88
Preferences`-[PSListController tableView:cellForRowAtIndexPath:]:
->  0x193654120 <+88>:  adrp   x8, 53960
    0x193654124 <+92>:  ldr    x22, [x8, #1368]
    0x193654128 <+96>:  mov    x1, x22
    0x19365412c <+100>: bl     0x199a89bc0               ; objc_msgSend
(lldb) po $x0
<__NSArrayI 0x13105a780>(
G: <PSSpecifier 0x12ff50cf0: ID 0, Name '' target <(null): 0x0>> 0x12ff50cf0,
<PSSpecifier 0x12ff50f50: ID NAME_CELL_ID, Name 'Name' target <AboutDataSource: 0x131028390>>,
G: <PSSpecifier 0x12ff51680: ID 2, Name '' target <(null): 0x0>> 0x12ff51680,
<PSSpecifier 0x12ff52360: ID NETWORK, Name 'Network' target <AboutDataSource: 0x131028390>>,
<PSSpecifier 0x12ff52420: ID SONGS, Name 'Songs' target <AboutDataSource: 0x131028390>>,
<PSSpecifier 0x12ff519f0: ID VIDEOS, Name 'Videos' target <AboutDataSource: 0x131028390>>,
<PSSpecifier 0x12ff51ab0: ID PHOTOS, Name 'Photos' target <AboutDataSource: 0x131028390>>,
<PSSpecifier 0x12ff51b70: ID APPLICATIONS, Name 'Applications' target <AboutDataSource: 0x131028390>>,
<PSSpecifier 0x12ff524e0: ID User Data Capacity, Name 'Capacity' target <AboutDataSource: 0x131028390>>,
<PSSpecifier 0x12ff525a0: ID User Data Available, Name 'Available' target <AboutDataSource: 0x131028390>>,
<PSSpecifier 0x12ff526a0: ID ProductVersion, Name 'Version' target <AboutDataSource: 0x131028390>>,
<PSSpecifier 0x12ff52850: ID CARRIER_VERSION, Name 'Carrier' target <AboutDataSource: 0x131028390>>,
<PSSpecifier 0x12ff52980: ID ProductModel, Name 'Model' target <AboutDataSource: 0x131028390>>,
<PSSpecifier 0x12ff52a60: ID SerialNumber, Name 'Serial Number' target <AboutDataSource: 0x131028390>>,
<PSSpecifier 0x12ff52b90: ID MACAddress, Name 'Wi-Fi Address' target <AboutDataSource: 0x131028390>>,
<PSSpecifier 0x12ff51050: ID BTMACAddress, Name 'Bluetooth' target <AboutDataSource: 0x131028390>>,
<PSSpecifier 0x12fde95d0: ID ModemVersion, Name 'Modem Firmware' target <AboutDataSource: 0x131028390>>,
G: <PSSpecifier 0x131031e90: ID 17, Name '' target <(null): 0x0>> 0x131031e90,
<PSSpecifier 0x12fde9c40: ID LEGAL_AND_REGULATORY, Name 'Legal' target <(null): 0x0>>,
G: <PSSpecifier 0x131029dc0: ID TRUST_STORE_GROUP, Name '' target <(null): 0x0>> 0x131029dc0,
<PSSpecifier 0x131033520: ID TRUST_STORE, Name 'Trust Store' target <AboutDataSource: 0x131028390>>
)
複製程式碼

我們讓程式執行下一步，發現此時x0已經有值了，可以明顯的看出，x0的值是在0x190804114~0x19080411C這段程式碼生成的，下面我們的工作重點就是尋找這段程式碼幹了什麼，勝利就在眼前！下面我們驗證一下這裡面到底有沒有我們要的序列號：

(lldb) po [[$x0 objectAtIndex:13] class]
PSSpecifier
(lldb) po [[$x0 objectAtIndex:13] properties]
{
    cellObject = "<PSTableCell: 0x130800000; baseClass = UITableViewCell; frame = (0 565; 320 45); text = 'Serial Number'; hidden = YES; autoresize = W; tag = 4; gestureRecognizers = <NSArray: 0x12ff821c0>; layer = <CALayer: 0x12fd7d340>>";
    id = SerialNumber;
    isCopyable = 1;
    value = DNPMVG0EFF9V;
}
複製程式碼

我們列印陣列中存放cell資料的object屬於哪個類，發現是PSSpecifier，我們找到之前匯出的類的標頭檔案，發現這個類有一個叫做properties的例項方法，我們呼叫一下發現我們要的序列號就在裡面value = DNPMVG0EFF9V，這跟iPhone設定中看到的序列號是一致的。猜測這個陣列裡面存放著系統設定中PSUIAboutController中所有cel的資料，這個陣列下一個肯定要傳遞到cell生成的方法中，這個就不做驗證了，大事重要，我們繼續找序列號的生成方法。這個PSSpecifier中有一個AboutDataSource物件，這個非常可疑，從名稱上可以判斷，這個類是專門用於資料處理的，不過在這之前我們還是先驗證一下，在0x190804114~0x19080411C這段地址中，執行了_PSListController._specifiers，我們從PSListController的標頭檔案（下文有講怎麼獲取）中可以看到有一個specifiers屬性，我們在IDA分析的檔案中找到[PSListController specifiers]，我們先定位到方法在二進位制檔案中的位置：

__text:00000001907FE4A8 ; -[PSListController specifiers]
__text:00000001907FE4A8 __PSListController_specifiers_          ; DATA XREF: __objc_const:000000019C069A08o
__text:00000001907FE4A8
__text:00000001907FE4A8 var_40          = -0x40
__text:00000001907FE4A8 var_30          = -0x30
__text:00000001907FE4A8 var_20          = -0x20
__text:00000001907FE4A8 var_10          = -0x10
__text:00000001907FE4A8
__text:00000001907FE4A8                 STP             X24, X23, [SP,#var_40]!
__text:00000001907FE4AC                 STP             X22, X21, [SP,#0x40+var_30]
__text:00000001907FE4B0                 STP             X20, X19, [SP,#0x40+var_20]
__text:00000001907FE4B4                 STP             X29, X30, [SP,#0x40+var_10]
__text:00000001907FE4B8                 ADD             X29, SP, #0x40+var_10
__text:00000001907FE4BC                 MOV             X19, X0
__text:00000001907FE4C0                 ADRP            X8, #_OBJC_IVAR_$_PSListController._specifiers@PAGE ; NSArray *_specifiers;
__text:00000001907FE4C4                 LDRSW           X22, [X8,#_OBJC_IVAR_$_PSListController._specifiers@PAGEOFF] ; NSArray *_specifiers;
__text:00000001907FE4C8                 LDR             X8, [X19,X22]
__text:00000001907FE4CC                 CBNZ            X8, loc_1907FE5E0
__text:00000001907FE4D0                 ADRP            X8, #_OBJC_IVAR_$_PSListController._dataSource@PAGE ; id <PSSpecifierDataSource> _dataSource;
__text:00000001907FE4D4                 LDRSW           X8, [X8,#_OBJC_IVAR_$_PSListController._dataSource@PAGEOFF] ; id <PSSpecifierDataSource> _dataSource;
__text:00000001907FE4D8                 LDR             X9, [X19,X8]
__text:00000001907FE4DC                 CBZ             X9, loc_1907FE550
__text:00000001907FE4E0                 ADRP            X9, #_OBJC_IVAR_$_PSListController._requestingSpecifiersFromDataSource@PAGE ; bool _requestingSpecifiersFromDataSource;
__text:00000001907FE4E4                 LDRSW           X23, [X9,#_OBJC_IVAR_$_PSListController._requestingSpecifiersFromDataSource@PAGEOFF] ; bool _requestingSpecifiersFromDataSource;
__text:00000001907FE4E8                 MOV             W9, #1
__text:00000001907FE4EC                 STRB            W9, [X19,X23]
__text:00000001907FE4F0                 LDR             X20, [X19,X8]
__text:00000001907FE4F4                 ADRP            X8, #selRef_specifier@PAGE
__text:00000001907FE4F8                 LDR             X1, [X8,#selRef_specifier@PAGEOFF]
__text:00000001907FE4FC                 MOV             X0, X19
__text:00000001907FE500                 BL              0x96C39BC0
__text:00000001907FE504                 MOV             X29, X29
__text:00000001907FE508                 BL              0x96C41EF0
__text:00000001907FE50C                 MOV             X21, X0
__text:00000001907FE510                 ADRP            X8, #selRef_specifiersForSpecifier_observer_@PAGE
__text:00000001907FE514                 LDR             X1, 
……
複製程式碼

然後在這裡面下個斷點看看會發生什麼

(lldb) br s -a 0x1907FE4D0+0x198e58640
Breakpoint 9: where = Preferences`-[PSListController specifiers] + 40, address = 0x000000019364e4d0
複製程式碼

我們從設定中進入通用>關於，發現一開始就走到了這個斷點，我們猜測，一進入關於頁面，系統會首先把所有cell的資料都準備好，然後載入UI

Process 1192 stopped
* thread #1: tid = 0x523a6, 0x000000019364e4d0 Preferences`-[PSListController specifiers] + 40, queue = 'com.apple.main-thread', stop reason = breakpoint 9.1
    frame #0: 0x000000019364e4d0 Preferences`-[PSListController specifiers] + 40
Preferences`-[PSListController specifiers]:
->  0x19364e4d0 <+40>: adrp   x8, 53971
    0x19364e4d4 <+44>: ldrsw  x8, [x8, #536]
    0x19364e4d8 <+48>: ldr    x9, [x19, x8]
    0x19364e4dc <+52>: cbz    x9, 0x19364e550           ; <+168>
複製程式碼

我們列印變數x8和x9的值，看一下系統做了什麼

(lldb) po $x8
<nil>
(lldb) po $x9
PSUIAboutController
複製程式碼

並沒有資料之類的東西值得我們關注，讓斷點繼續往下走，走到0x19364e4dc的位置，我們再次列印變數x8和x9的值

(lldb) n
Process 1192 stopped
* thread #1: tid = 0x523a6, 0x000000019364e4dc Preferences`-[PSListController specifiers] + 52, queue = 'com.apple.main-thread', stop reason = instruction step over
    frame #0: 0x000000019364e4dc Preferences`-[PSListController specifiers] + 52
Preferences`-[PSListController specifiers]:
->  0x19364e4dc <+52>: cbz    x9, 0x19364e550           ; <+168>
    0x19364e4e0 <+56>: adrp   x9, 53971
    0x19364e4e4 <+60>: ldrsw  x23, [x9, #540]
    0x19364e4e8 <+64>: orr    w9, wzr, #0x1
(lldb) po $x8
952
(lldb) po $x9
<AboutDataSource: 0x131130730>
複製程式碼

此時的變數x9已經變成了AboutDataSource，這裡驗證了我們上一步的猜想，所以我們重點來研究它，我們先找到這個類在哪個framework中，這裡使用的是grep命令

LeonLei-MBP:~ gaoshilei$ grep AboutDataSource -r /Users/gaoshilei/Desktop/reverse/iOS-Runtime-Headers-9.1 
/Users/gaoshilei/Desktop/reverse/iOS-Runtime-Headers-9.1/PrivateFrameworks/PreferencesUI.framework/AboutDataSource.h:@interface AboutDataSource : PSSpecifierDataSource {
複製程式碼

這裡要說明一下iOS-Runtime-Headers-9.1這個資料夾是iOS9.1系統的所有標頭檔案（共有+私有），這個你可以自己導（iOS9之後只能用runtime導，class-dump已經不行了），你也可以拿現成的用，github上面已經有雷鋒把所有系統的標頭檔案都匯出來了，直接下載就可以了。我們發現AboutDataSource這個類在PrivateFrameworks/PreferencesUI.framework中，先看一下這個類裡面有什麼方法和屬性，有一個方法- (void)_loadValues; 我們對它進行分析。這裡又要藉助IDA分析，把PreferencesUI這個二進位制檔案丟到IDA裡面，在0x19091EBB8這個位置打個斷點

(lldb) br s -a 0x19091EBB8+0x2e50000
Breakpoint 3: where = PreferencesUI`-[AboutDataSource _loadValues] + 1956, address = 0x000000019376ebb8
複製程式碼

接下來我們進入關於來觸發斷點

(lldb) po (char *) $x28
"_setValue:forSpecifierWithKey:"
複製程式碼

在這裡列印變數x28的值，發現它是一個方法名，從名稱來看是給specifier賦值的，看來我們要尋找的真相已經很近了，讓程式碼走到下面的位置0x19376ebd8

Process 2107 stopped
* thread #1: tid = 0xe8e23, 0x000000019376ebd8 PreferencesUI`-[AboutDataSource _loadValues] + 1988, queue = 'com.apple.main-thread', stop reason = instruction step over
    frame #0: 0x000000019376ebd8 PreferencesUI`-[AboutDataSource _loadValues] + 1988
PreferencesUI`-[AboutDataSource _loadValues]:
->  0x19376ebd8 <+1988>: bl     0x198e58640               ; MGCopyAnswer
    0x19376ebdc <+1992>: mov    x22, x0
    0x19376ebe0 <+1996>: mov    x1, x19
    0x19376ebe4 <+2000>: bl     0x199a89bc0               ; objc_msgSend
(lldb) po $x0
SerialNumber
複製程式碼

此時我們列印的x0是一個NSCFConstantString，本質就是一個NSString，繼續ni讓程式執行到0x19376ebdc

Process 2107 stopped
* thread #1: tid = 0xe8e23, 0x000000019376ebdc PreferencesUI`-[AboutDataSource _loadValues] + 1992, queue = 'com.apple.main-thread', stop reason = instruction step over
    frame #0: 0x000000019376ebdc PreferencesUI`-[AboutDataSource _loadValues] + 1992
PreferencesUI`-[AboutDataSource _loadValues]:
->  0x19376ebdc <+1992>: mov    x22, x0
    0x19376ebe0 <+1996>: mov    x1, x19
    0x19376ebe4 <+2000>: bl     0x199a89bc0               ; objc_msgSend
    0x19376ebe8 <+2004>: cbnz   x0, 0x19376ec4c           ; <+2104>
(lldb) po $x0
DNPMVG0EFF9V
複製程式碼

在這裡我們列印了變數x0的值為DNPMVG0EFF9V，這就是我們苦苦尋找的序列號。不難看出，序列號就是在0x19376ebd8這行拿到的，範圍越來越小，敵人無路可逃！下面我們就要對這行進行分析，我們按照之前的步驟，再次走到0x19376ebd8這個位置，這不過這次我們不要step-over，我們用si跳入看看

(lldb) si
Process 2107 stopped
* thread #1: tid = 0xe8e23, 0x0000000198e58640 libMobileGestalt.dylib`MGCopyAnswer, queue = 'com.apple.main-thread', stop reason = instruction step into
    frame #0: 0x0000000198e58640 libMobileGestalt.dylib`MGCopyAnswer
libMobileGestalt.dylib`MGCopyAnswer:
->  0x198e58640 <+0>: movz   x1, #0
    0x198e58644 <+4>: b      0x198e58648               ; ___lldb_unnamed_symbol64$$libMobileGestalt.dylib

libMobileGestalt.dylib`___lldb_unnamed_symbol64$$libMobileGestalt.dylib:
    0x198e58648 <+0>: stp    x24, x23, [sp, #-64]!
    0x198e5864c <+4>: stp    x22, x21, [sp, #16]
此時跳入了一個靜態庫libMobileGestalt.dylib，我們可以在usr/lib/ibMobileGestalt.dylib找到它，我們將它扔進IDA，用當前的addr減去libMobileGestalt.dylib的基地址偏移得到它的靜態地址0x196008640，對應的是一個函式MGCopyAnswer
__text:0000000196008640
__text:0000000196008640 ; =============== S U B R O U T I N E =======================================
__text:0000000196008640
__text:0000000196008640
__text:0000000196008640                 EXPORT _MGCopyAnswer
__text:0000000196008640 _MGCopyAnswer                           ; CODE XREF: sub_196005958+30p
__text:0000000196008640                                         ; sub_196006258+28p ...
__text:0000000196008640                 MOV             X1, #0
__text:0000000196008644                 B               sub_196008648
__text:0000000196008644 ; End of function _MGCopyAnswer
複製程式碼

這個函式最外層只有兩行程式碼，將立即數0賦給x1，然後跳進了子程式sub_196008648，跳進去之後進行了一些很複雜的運算，這裡就不做介紹了，裡面的實現大概是這樣的： x0是作為一個引數傳入的，並且這裡x0的值為SerialNumber，在地址為0x196008678的地方，這個函式中x1變成了一串隨機數，有點像MD5加密之後的東西，應該是“鑰匙”

(lldb) po (char*) $x1
"l92SaBpqIvQs+KBljuwGA"
複製程式碼

在0x196008690這裡，我們setp-into這個函式，在函式的末尾返回值的地方0x196007474打個斷點，列印返回值x0

(lldb) po $x0
DNPMVG0EFF9V
複製程式碼

這裡的x0由SerialNumber變成了真正的序列號，並且就是在0x196008690對應的子程式sub_19600738C裡面拿到的，所以我們就這樣一個猜測，在MGCopyAnswer函式中，x0作為一個引數傳入，並且在內部進行了一系列複雜的運算，拿到了獲取序列號的“鑰匙”x1，然後在sub_19600738C中拿到了最終的序列號。這裡筆者也沒有對序列號的拿到在進行進一步的深究，這裡蘋果做了很大的限制，再繼續研究恐怕也是收穫不大，而且我們在這裡已經能拿到序列號了。

三、驗證結果

接下來就是驗證的過程了，我們寫一個tweak來驗證，當然也可以用其他方式來驗證： tweak的建立這裡就不贅述了，我把我的tweak和makefile檔案內容貼一下：

tweak檔案：

tweak.xm:
extern "C" NSString *MGCopyAnswer(NSString*);
%hook SpringBoard
- (void)applicationDidFinishLaunching:(id)application {
%orig;
NSString *serialNumber = [NSString stringWithFormat:@"%@",[MGCopyAnswer(@"SerialNumber") autorelease]];
UIAlertView *alert = [[UIAlertView alloc] initWithTitle:serialNumber message:nil delegate:self cancelButtonTitle:@"OK" otherButtonTitles:nil];
[alert show];
}
%end
複製程式碼

這裡注入系統的SpringBoard，在SB啟動的時候hook住applicationDidFinishLaunching：函式，並且在這個函式裡面新增獲取序列號的程式碼，並且以彈框的形式展現出來。

makefile檔案:

THEOS_DEVICE_IP = 192.168.0.115
include $(THEOS)/makefiles/common.mk
TWEAK_NAME = SerialNumber
SerialNumber_FILES = Tweak.xm
include $(THEOS_MAKE_PATH)/tweak.mk
SerialNumber_LDFLAGS = -lMobileGestalt
after-install::
	install.exec "killall -9 SpringBoard"
複製程式碼

其中有一行SerialNumber_LDFLAGS = -lMobileGestalt千萬要注意，使用的時候要載入這個靜態庫，因為SpringBoard載入的時候我也不確定是否有載入這個庫，然後我們驗證一下吧！

此文參考了《iOS逆向工程（第二版）》

iPhone序列號和保修期怎麼查？iPhone序列號查詢啟用時間查詢教程
2018-11-26
iPhone
序列生成函式
2022-12-19
函式
電腦序列號怎麼查詢電腦序列號的查詢方法介紹
2022-11-30
蘋果官網序列號查詢
2017-11-19
蘋果
Mac序列號查詢工具：KCNScrew Pack
2022-07-11
Mac
Serialbox for Mac(序列號查詢工具)
2021-11-18
Mac
查詢硬碟序列號的參考方案
2024-08-21
硬碟
號稱序列號查詢神器的Serial Box mac版
2020-11-02
Mac
ASP中巧用Split()函式生成SQL查詢語句 (轉)
2007-12-10
函式SQL
Solr複雜查詢一：函式查詢
2020-04-17
Solr函式
利用IDENTITY()函式重新為列生成序列
2005-05-26
IDE函式
軟體序列號查詢軟體：Serial Box for Mac
2024-01-12
Mac
PostgreSQL 查詢替換函式
2021-12-21
SQL函式
Solr的函式查詢（FunctionQuery）
2014-09-10
Solr函式Function
子串查詢函式strstr
2010-04-24
函式
SAP IQ09 可以批量查詢序列號資料
2019-03-04
蘋果iPhone Xs/Xs Max序列號的檢視方法 iPhone Xs序列號在哪檢視？
2018-09-20
蘋果iPhone
win10 查詢硬碟序列號方法 win10主機硬碟序列號怎麼看
2020-10-02
Win10硬碟
用api函式讀取硬碟的序列號 (轉)
2007-12-09
API函式硬碟
Java-MySql-函式、多表查詢
2020-12-09
JavaMySql函式
[Mysql 查詢語句]——集合函式
2017-03-18
MySql函式
SQL查詢中用到的函式
2018-05-14
SQL函式
分享一款序列號查詢神器：Serial Box mac版
2020-09-15
Mac
MyEclipse序列號生成程式碼
2011-03-03
Eclipse
c++字串查詢函式實現
2018-11-20
C++字串函式
二分查詢（函式實現）
2020-10-31
函式
二分查詢函式的使用
2020-11-25
函式
BOM查詢上階層物料函式
2007-10-29
函式
mac軟體序列號查詢工具：KCNcrew Pack for mac 最新啟用
2023-11-16
Mac
蘋果電腦軟體序列號查詢必備工具：Serialbox
2023-05-15
蘋果
select查詢之五：分析函式在查詢的運用
2016-10-08
函式
Java自動生成訂單序列號
2018-10-08
Java
Oracle層次查詢和分析函式在號段選取中的應用
2007-11-07
Oracle函式
Serialbox for Mac(序列號查詢工具)v2021.11
2021-12-03
Mac
透過BIOS的ID序列號查詢主機板廠商
2008-01-12
iOS
PostgreSQL函式：返回表查詢結果集
2018-11-18
SQL函式
PHP 查詢、擷取字串函式詳解
2019-01-09
PHP字串函式
MySQL之集合函式與分組查詢
2017-05-11
MySql函式