iOS逆向之二 一個簡單的Tweak外掛原理解析

aron1992發表於2019-04-04
iOS

iOS逆向之二-一個簡單的Tweak外掛

Tweak外掛可以動態的注入到宿主程式中，修改宿主程式的執行流程
Tweak外掛是使用theos開發的，所以首先要安裝theos程式，並且越獄手機中需要安裝Cydia Substrate，這篇部落格iOS逆向之一-工具的安裝和使用有工具安裝和使用的詳細說明，如果沒有安裝首先需要安裝對應的工具才能繼續下面的步驟。

建立Tweak外掛

工程建立

(1)、使用theos自帶模組建立工程，/opt/theos 是我安裝theos的目錄

➜  ios_re_proj /opt/theos/bin/nic.pl 
NIC 2.0 - New Instance Creator
------------------------------
  [1.] iphone/activator_event
  [2.] iphone/application_modern
  [3.] iphone/cydget
  [4.] iphone/flipswitch_switch
  [5.] iphone/framework
  [6.] iphone/ios7_notification_center_widget
  [7.] iphone/library
  [8.] iphone/notification_center_widget
  [9.] iphone/preference_bundle_modern
  [10.] iphone/tool
  [11.] iphone/tweak
  [12.] iphone/xpc_service
複製程式碼

(2)、選擇11建立一個tweak專案

Choose a Template (required): 11
複製程式碼

(3)、輸入專案名稱、專案包名，作者，需要注入的宿主程式包名和宿主程式名稱

Project Name (required): FirstReProj        #專案名
Package Name [com.yourcompany.firstreproj]: com.zyt.firstreproj        #專案包名
Author/Maintainer Name [aron]: zyt        #作者
[iphone/tweak] MobileSubstrate Bundle filter [com.apple.springboard]: com.apple.springboard        #需要注入的宿主程式包名
[iphone/tweak] List of applications to terminate upon installation (space-separated, '-' for none) [SpringBoard]: SpringBoard        #宿主程式名稱
Instantiating iphone/tweak in firstreproj/...
Done.
複製程式碼

專案建立完畢，工程的目錄如下：

工程目錄
工程目錄

FirstReProj.plist    - 注入的宿主程式包名配置檔案
Makefile    -make檔案
Tweak.xm    -原始碼檔案，xm格式檔案支援c/oc/logo語法，x格式支援logo語法
control    -控制檔案，儲存專案的配置資訊
複製程式碼

新增程式碼

(1)、下面的程式碼實現的功能是注入SpringBoard程式，也就是IOS桌面管理程式，監聽程式啟動事件，在程式啟動的時候新增一個彈框，以及監聽HOME按鈕和LOCK按鈕的點選事件，列印LOG，修改之後的Tweak.xm檔案如下所示：

@interface SpringBoard
// 需要新增自定義方法的方法宣告，否則編譯不過
// 執行時會從%new新增的方法列表中查詢方法
- (void)mm_handleMenuButtonDown;
- (void)mm_handleMenuLockButtonDown;
@end


%hook SpringBoard

// 使用 %new 新增自定義的方法
%new
- (void)mm_handleMenuButtonDown {
	NSLog(@"mm_handleMenuButtonDown");
}

%new
- (void)mm_handleMenuLockButtonDown {
	NSLog(@"mm_handleMenuLockButtonDown");
}

-  (void)applicationDidFinishLaunching:(id)application 
{ 
    %orig; 
    UIAlertView *alert = [[UIAlertView alloc]  
    initWithTitle:@"Dream MAKE Dream！" 
    message:nil 
    delegate:self cancelButtonTitle:@"OK"
    otherButtonTitles:nil]; 
    [alert show];
}

- (void)menuButtonDown:(struct __GSEvent *)arg1 {
	%orig; 
	[self mm_handleMenuButtonDown];
}

- (void)_menuButtonDown:(struct __IOHIDEvent *)arg1 {
	%orig; 
	[self mm_handleMenuButtonDown];
}

- (void)headsetButtonDown:(struct __GSEvent *)arg1 {
	%orig; 
	NSLog(@"headsetButtonDown");
}

- (void)lockButtonDown:(struct __GSEvent *)arg1 {
	%orig;
	[self mm_handleMenuLockButtonDown];
}
%end
複製程式碼

(2)、修改Makefile
makefile相當於xcode總的plist檔案，配置了編譯資訊和編譯原始檔，特別地，THEOS_DEVICE_IP = 192.168.1.112 配置安裝裝置的這個巨集定義需要提到前面，才能生效，也可以通過新增環境變數的方式設定這個巨集 export THEOS_DEVICE_IP=192.168.8.220

#編譯debug或者release
DEBUG = 0
    
#越獄iPhone的ip地址
# 需要新增到環境變數中才能生效,命令： "export THEOS_DEVICE_IP=192.168.8.220"
THEOS_DEVICE_IP = 192.168.1.112

#指定支援的處理器架構
ARCHS = armv7 arm64

#指定需要的SDK版本iphone:Base SDK:Deployment Target
#最新的SDK，程式釋出在iOS8.0以上
TARGET = iphone:latest:8.0

include /opt/theos/makefiles/common.mk

TWEAK_NAME = FirstReProj
FirstReProj_FILES = Tweak.xm

include $(THEOS_MAKE_PATH)/tweak.mk

#匯入框架，多個框架時用空格隔開
#FirstReProj_FRAMEWORKS = UIKit 
#FirstReProj_PRIVATE_FRAMEWORKS = AppSupport

#連結libsqlite3.0.dylib、libz.dylib和dylib1.o
#MyFirstReProject_LDFLAGS = -lz –lsqlite3.0 –dylib1.o

#make clean
clean::
	rm -rf ./packages/*

#指定tweak安裝之後，需要做的事情，這裡是殺掉SpringBoard程式 
after-install::
	install.exec "killall -9 SpringBoard"
複製程式碼

打包和安裝

make 編譯連結

➜  systemproxysettingtweak git:(master) ✗ make
> Making all for tweak SystemProxySettingTweak…
==> Preprocessing Tweak.xm…
==> Compiling Tweak.xm (armv7)…
==> Compiling WiFiProxyToggler.m (armv7)…
==> Linking tweak SystemProxySettingTweak (armv7)…
clang: warning: libstdc++ is deprecated; move to libc++ with a minimum deployment target of iOS 7 [-Wdeprecated]
ld: warning: -undefined dynamic_lookup is deprecated on iOS
==> Preprocessing Tweak.xm…
==> Compiling Tweak.xm (arm64)…
==> Compiling WiFiProxyToggler.m (arm64)…
==> Linking tweak SystemProxySettingTweak (arm64)…
clang: warning: libstdc++ is deprecated; move to libc++ with a minimum deployment target of iOS 7 [-Wdeprecated]
ld: warning: -undefined dynamic_lookup is deprecated on iOS
==> Merging tweak SystemProxySettingTweak…
==> Signing SystemProxySettingTweak…
複製程式碼

生成deb包

➜  systemproxysettingtweak git:(master) ✗ make package
> Making all for tweak SystemProxySettingTweak…
make[2]: Nothing to be done for `internal-library-compile'.
> Making stage for tweak SystemProxySettingTweak…
dpkg-deb: building package 'com.zyt.systemproxysettingtweak' in './packages/com.zyt.systemproxysettingtweak_0.0.1-5+debug_iphoneos-arm.deb'.
複製程式碼

在專案根目錄下面新增了packages 資料夾，裡面儲存生成的包

➜  systemproxysettingtweak git:(master) ✗ tree
.
├── Makefile
├── SCNetworkHeader.h
├── SystemProxySettingTweak.plist
├── Tweak.xm
├── WiFiProxyToggler.h
├── WiFiProxyToggler.m
├── control
├── obj
│   └── debug
└── packages
    └── com.zyt.systemproxysettingtweak_0.0.1-5+debug_iphoneos-arm.deb
複製程式碼

安裝

使用 make install 命令安裝，** 注意：需要在 make 檔案中指定裝置的IP地址 THEOS_DEVICE_IP = 192.168.8.73 **

➜  systemproxysettingtweak git:(master) ✗ make install
==> Installing…
root@192.168.8.73's password: 
(Reading database ... 5000 files and directories currently installed.)
Preparing to unpack /tmp/_theos_install.deb ...
Unpacking com.zyt.systemproxysettingtweak (0.0.1-5+debug) over (0.0.1-4+debug) ...
Setting up com.zyt.systemproxysettingtweak (0.0.1-5+debug) ...
install.exec "killall -9 SystemProxySetting"
root@192.168.8.73's password: 
複製程式碼

一步編譯安裝

➜  systemproxysettingtweak git:(master) ✗ make package install
> Making all for tweak SystemProxySettingTweak…
make[2]: Nothing to be done for `internal-library-compile'.
> Making stage for tweak SystemProxySettingTweak…
dpkg-deb: building package 'com.zyt.systemproxysettingtweak' in './packages/com.zyt.systemproxysettingtweak_0.0.1-7+debug_iphoneos-arm.deb'.
==> Installing…
root@192.168.8.73's password: 
(Reading database ... 5000 files and directories currently installed.)
Preparing to unpack /tmp/_theos_install.deb ...
Unpacking com.zyt.systemproxysettingtweak (0.0.1-7+debug) over (0.0.1-5+debug) ...
Setting up com.zyt.systemproxysettingtweak (0.0.1-7+debug) ...
install.exec "killall -9 SystemProxySetting"
root@192.168.8.73's password: 
No matching processes were found
make: *** [after-install] Error 1
➜  systemproxysettingtweak git:(master) ✗ 
複製程式碼

Tweak工作原理

(1) Cydia Substrate 越獄機器外掛、軟體執行的基礎依賴包，提供動態注入的功能 Sbustrate 主要由三部分組成：MobileHooker，MobileLoader，safe mode

(1.1) MobileHooker 用於替換系統的方法，這個過程稱為Hooking
有兩個有 Cydia Substrate 框架提供的方法

MSHookMessageEx 用於注入OC函式
函式原型 void MSHookMessageEx(Class _class, SEL message, IMP hook, IMP *old)

MSHookFunction 用於注入c/c++函式

Logos語法中的 %hook 就是對此函式的封裝，程式碼更簡潔、直觀

(1.2) MobileLoader
將tweak外掛注入到第三方應用程式中（動態注入：ptrace）
MobileLoader 查詢 /Library/MobileSubstrate/DynamicLibraries 下 plist 檔案指定的作用範圍，把對應的dylib動態的注入到程式中

safe mode : 不載入第三方驅動，只載入系統自帶的驅動
安裝了第三方外掛導致系統的在啟動的時候導致桌面的崩潰，會啟動 safe mode，不會重新載入桌面
*可以ssh到iPhone，使用dpkg命令刪除Tweak外掛包

dpkg -r com.zyt.reapp 
複製程式碼

DEB包解析

使用make package 會在專案目錄下面生成package資料夾，裡面包含了deb包， DEB包本質上就是一種特殊格式的壓縮包，可以使用兩種方法解壓裡面的內容

  • dpkg命令加壓
    解壓出包中的檔案到extract目錄下
dpkg -X ../openssh-client_6.1p1_i386.deb extract/
複製程式碼

解壓出包的控制資訊extract/DEBIAN/下：

dpkg -e ../openssh-client_6.1p1_i386.deb extract/DEBIAN/ 
複製程式碼
  • 可以直接使用ar/tar解壓縮
➜  packages git:(master) ✗ ar -x com.zyt.firstreproj_0.0.1-2+debug_iphoneos-arm.deb 
// 生成 data.tar.gz control.tar.gz 兩個檔案，使用tar解壓縮
➜  packages git:(master) ✗ tar -zxf data.tar.gz   
// 有可能是 data.tar.lzma格式的檔案 ➜  packages git:(master) sudo tar -zxf data.tar.lzma
➜  packages git:(master) ✗ tar -zxf control.tar.gz
複製程式碼

使用第二種方式解壓後可以看到目錄中的Library資料夾以及control檔案

➜  packages git:(master) ll
total 40
drwxr-xr-x  3 root  staff   102B  8 18 18:37 Library
-rw-r--r--  1 root  staff   3.4K  8 18 18:37 com.zyt.firstreproj_0.0.1-1+debug_iphoneos-arm.deb
-rw-r--r--  1 root  staff   233B  8 18 18:37 control
-rw-r--r--  1 root  staff   313B  8 21 17:29 control.tar.gz
-rw-r--r--  1 root  staff   2.9K  8 21 17:29 data.tar.lzma
-rw-r--r--  1 root  staff     4B  8 21 17:29 debian-binary
➜  packages git:(master) 
複製程式碼

其中Library目錄的結構如下：

➜  packages git:(master) tree
.
├── Library
│   └── MobileSubstrate
│       └── DynamicLibraries
│           ├── FirstReProj.dylib
│           └── FirstReProj.plist
複製程式碼

Library的目錄結構和安裝到iPhone上對應檔案目錄結構是一致的，是一種對映關係，簡單來說，安裝deb包就是一個解壓操作而已，把deb包中的內容解壓到iPhone就完成了安裝流程。
iPhone手機上看到對應資料夾下的檔案：

iPhone:/Library/MobileSubstrate/DynamicLibraries root# ls | grep FirstRePro  
FirstReProj.dylib*
FirstReProj.plist
複製程式碼

總結

第一個逆向的專案到此結束了，路漫漫其道修遠兮，吾將上下而求索。

相關文章